php - より安全なのは、mysql anti-sqli + xss ソリューション

Question

このコードは安全ですか?

$name = htmlspecialchars($mysqli->real_escape_string($_POST["name"]), ENT_QUOTES,"UTF-8");

それともこれを使うべきですか

$name = $mysqli->real_escape_string(htmlspecialchars($_POST["name"], ENT_QUOTES,"UTF-8"));

またはそれは問題ではありませんか？どうも

Answer 1

ない。

クエリを作成するときにデータベースを SQL インジェクションから保護します。可能であれば、手動でエスケープするのではなく、パラメーター化されたクエリを使用して実行してください。

HTMLを生成するときに、HTML を XSS から保護します。つまり、データベースに入力したデータではなく、データベースからhtmlspecialchars取得したデータに適用します。