在表單元素值中使用引號

Question

我創建了Textarea控件。輸入此控件的數據在單擊提交時轉到database。但是，當用戶在此控件中輸入值時鍵入單引號並單擊「提交」時，數據不會轉到數據庫。

如何讓用戶在輸入數據的同時輸入這樣的特殊字符？

Answer 1

在查詢中插入數據時，必須使用mysql_real_escape_string()（如果mysql數據庫）將其轉義。這從SQL Injections保護你。

mysql_query("INSERT INTO table(col) VALUES('".mysql_real_escape_string($data)."')"); 

當在表單元素中顯示數據時，您必須像htmlspecialchars()函數那樣將它們轉義。這從XSS保護你。

<textarea><?php echo htmlspecialchars($data, ENT_QUOTES); ?></textarea>