htmlentities mysql_real_escape_string

Question

我只想知道我是否做得对。

PHP

<?php 
if(isset($_POST['email']) && isset($_POST['password'])) { 
    $email = htmlentities(mysql_real_escape_string($_POST['email'])); 
    // then hash password 
} 
?> 

HTML

<form action="" method="POST"> 
    <input type="email" name="email" /> 
    <input type="password" name="password" /> 
    <input type="submit" name="Login" /> 
</form> 

是好与mysql_real_escape_string做htmlentities()在一起吗？
或我需要做什么？

Answer 1

我会说htmlentities()是很好的防止XSS攻击。所以，如果您要再次将这些数据重新呈现为HTML格式，请使用它。如果你只担心着名的SQL Injection攻击，我会说mysql_real_escape_string()就足够了。

记住你需要解码HTML实体，一旦你要再次显示它们。