如何使用PHP将文本区域的叛逆者传递给MySQL

我有一个文本区域,用户也可以添加注释.在下一页,我使用$_POST [评论]来显示输入的内容.我有一个编辑按钮,可以返回查看输入的内容并编辑注释,但是当我显示$_POST [注释]时,它会显示撇号的所有内容.

例：

最初键入：让我们试试这个.

编辑时：让

现在,当我将它传递给服务器进行sql添加时,我使用以下函数来防止sql注入

function keepSafe($value) {
        if (get_magic_quotes_gpc()) {
            $value = stripslashes($value);
        }
        if (!is_numeric($value)) {
            $value = "'" . MysqLi_real_escape_string($value) . "'";
        }
        return $value;
    }

以下是我用来格式化sql插入输入的内容.

$Comments = str_replace("\n","<br />",$_POST['CustComments']);
    $Comments = keepSafe($_POST['Comments']);

在提交之前进行编辑时,我需要能够在注释部分查看所有撇号.我想确保当我提交它时,sql注入会阻止安全代码.

撇号的问题：

你可能使用这样的输入：

<input type='text' value='<?PHP echo $value;?>'/>

问题是,如果值有撇号,则会发生这种情况：

<input type='text' value='Let's play'/>

因此,由于变量中的撇号,值标签已结束.

要修复它,只需使用带有ENT_QUOTES的htmlspecialchars：

<?PHP 
 $value = htmlspecialchars("Let's play",ENT_QUOTES);
?>
<input type='text' value='<?PHP echo $value; ?>'/>

这样撇号就会被编码,并且可以在你的表单中编辑

关于sql注入：

只需使用mysqli’s prepared statements就可以了.为了使您远离XSS,请始终在HTML输出中使用htmlspecialchars用户输入.更好的方法是仅将输入过滤到您需要的内容,并仅将过滤后的输入保存到数据库中.