php - PHPセーフ出力

Question

ユーザー入力を出力するときは、次の関数を使用します。

function bbkoda($text) {
    $text = htmlspecialchars($text);
    $text = nl2br($text);

    $hitta = array(
        "'\[b](.*?)\[/b]'is",
        "'\[i](.*?)\[/i]'is"
    );

    $byt = array(
        "<b>\\1</b>",
        "<i>\\1</i>"
    );

    $text = preg_replace($hitta, $byt, $text);

    return $text;
}

これはかなり安全ですよね？でdbに挿入したものをすべてサニタイズしmysql_real_escape_string、で出力しhtmlspecialcharsます。私は非常に疑わしい人です:P

ありがとう

Answer 1

このトピックに関するstackoverflowについては、すでにかなり良い説明があります。基本的に、本当に安全にするには、入力と出力に取り組む必要があります。