[JavaScript][PHP]Filtrowanie pobrnych danych htmlspecialchars() Opcje

[q3d]

Pobieram z bazy dane. Część z nich to np. wartości atrybutów HTML. Czy one również mają być filtrowane htmlspecialchars();?

[PHP] pobierz, plaintext 
<p class="'.htmlspecialchars($config['class']).'">'.htmlspecialchars($content).'</p>
[PHP] pobierz, plaintext 

Gdy próbowałem:

[PHP] pobierz, plaintext 
$config['class'] = '<script>alert()</script>';
 
<p class="'.$config['class'].'">...</p>
[PHP] pobierz, plaintext 

to skrypt JS się nie wykonuje.

[viking]

escapeHtmlAttr zawiera ściślejsze reguły usuwania znaków i dotyczy atrybutów. Nie bardzo rozumiem jak do takiego wniosku doszedłeś. Nazwy metod jasno mówią gdzie je należy wykorzystywać. Oczywiście to tylko przykład, możesz swoje rozwiązanie zaimplementować, ale dobrze wyjaśnia gdzie leży problem. Dla atrybutów w cudzysłowach powinno być

[PHP] pobierz, plaintext 
htmlspecialchars($url, ENT_QUOTES | ENT_SUBSTITUTE, 'utf-8')
[PHP] pobierz, plaintext 

Wszystko co pochodzi od użytkownika ma być bezwzględnie filtrowane i weryfikowane.