[MySQL][PHP]Escapowanie danych., Którymi funkcjami, które dane? Opcje

[--Havok--]

Witam,

Mam problem z escapowaniem danych, bo nie do końca wiem których funkcji używać w jakich sytuacjach. Także prosiłbym o pomoc w wytłumaczeniu, o ile można (IMG:style_emoticons/default/smile.gif) Z góry dziękuję wszystkim, którzy zechą mi pomóc (IMG:style_emoticons/default/smile.gif)

Znam funkcje: mysql_real_escape_string, htmlspecialchars, strip_tags, addslashes, stripslashes.

Chciałbym udostępnić formularz w którym można coś opisywać z użyciem kilku tagów html (np. b, i, u, kolor, itp.)
a) wysyłanie do bazy tylko z użyciem mysql_real_escape_string? Czy może użycie jeszcze addslashes czy coś?
(IMG:style_emoticons/default/cool.gif) wyciągnięcie z bazy danych i wyświetlenie tego na ekranie - jeżeli nie będę używał addslashes, to nie muszę też używać stripslashes, czy jednak muszę z powodu użycia mysql_real_escape_string?
c) wyświetlenie tych samych danych w innym miejscu z usunięciem wszystkich tagów html. Czy samo strip_tags wystarczy? Co w przypadku, gdy user zapomni o jakimś tagu lub skrypt go nie domknie (np. tinymce)

Prosiłbym o odpowiedzi na pytania, jak i własne rady co najlepiej stosować.

Jeszcze raz dziękuję wszystkim, którzy zechcą mi pomóc (IMG:style_emoticons/default/smile.gif)

Pozdrawiam

[viking]

I uwierz mi że dla bezpieczeństwa będzie to dużo lepsze niż to co proponujesz. Tu zapomnisz, tam źle użyjesz. Tym bardziej że jak PDO czy klasy źle wykorzystasz dostaniesz wyjątek albo fatal error co najwyżej. I już widzisz jaki masz problem a nawet nie zacząłeś. Przy PDO te wszystkie funkcje wyrzucasz do kosza.

Przy okazji może warto zastanowić się nad textile, markdown.

Ten post edytował viking 22.05.2012, 17:49:32