Почему fetchArray не применяет htmlspecialchars напрямую?

Question

Чтобы избежать внедрения SQL и XSS, мы используем функцию htmlspecialchars () или другие, например escapeString.

Если нам нужно использовать эту функцию каждый раз, когда мы создаем запрос SQL и получаем результаты, почему тогда функция

$results->fecthArray(); 

не применяет функцию htmlspecialchars напрямую?

Answer 1

Атаки с использованием инъекций происходят при изменении языка программирования / инструкции .Например, от PHP до SQL вам нужно mysqli_real_escape_string для экранирования строки запроса перед обработкой сервером SQL.

Чтобы ответить на ваш вопрос, $results по-прежнему остается переменной PHP, и вам нужно толькоэкранирование непосредственно перед выводом в форму HTML.Большинство людей не делают этого сразу, а некоторые могут даже не выводить в HTML, поэтому функция не требует применения htmlspecialchars автоматически.