什麼是更安全的，mysql反sqli + xss解決方案

Question

是這個代碼安全嗎？

$name = htmlspecialchars($mysqli->real_escape_string($_POST["name"]), ENT_QUOTES,"UTF-8"); 

或者我應該用這個

$name = $mysqli->real_escape_string(htmlspecialchars($_POST["name"], ENT_QUOTES,"UTF-8")); 

或不要緊？ Thx

Answer 1

都沒有。

在進行查詢時保護數據庫免受SQL注入。如有可能，請執行with parameterized queries而不是手動轉義。

當您生成HTML時，請保護您的HTML不受XSS 的影響。即將htmlspecialchars應用於您獲得的數據out的數據庫中，而不是您放入其中的數據。