PHP и PDO, предотвращающие инъекцию Javascript

Question

У меня есть сайт, написанный на PHP с использованием PDO. Я использую функцию bindParam() для привязки к SQL запроса вставки:

("insert into Table (id, date, data) VALUES (?, ?, ?)") 

но я могу вставить строку, содержащую

"<script>window.location="google.com"</script>" 

Как это предотвратить?

Спасибо !!!

Answer 1

PDO не собирается, чтобы остановить вас сделать это. Вы должны сами позаботиться о строке:

1. Если вы не хотите <script> теги на всех, используйте strip_tags
2. Если вы хотите, чтобы эти теги, но не хотите их выполнить, а затем использовать htmlentities

Answer 2

Предполагая, что вы имеете в виду

<script>window.location="google.com"</script> 

Вы должны беспокоиться о защите инжекционного на дисплее строки, так как вы не хотите, чтобы заполнить базу данных с HTML сущностями.

Используйте htmlspecialchars() [1] на страницах, отображающих информацию о базе данных.

[1] http://www.php.net/manual/en/function.htmlspecialchars.php