я должен использовать htmentities () php с pdo для фильтрации входных и выходных экранирования?

Question

я должен использовать функцию php htmentities () с pdo для фильтрации входных и выходных данных, чтобы защитить от атаки xss?

Answer 1

Используйте htmlentities (или предпочтительно htmlspecialchars), когда выводит пользовательский контент в контексте HTML (т.е. при отображении его на вашем веб-сайте).Не используйте экранирующие значения HTML, которые попадают в базу данных, так как там нет уязвимости XSS, и вы обычно хотите хранить raw данные в базе данных и экранировать их позже при необходимости.

Answer 2

Вы должны использовать htmlentities или htmlspecialchars перед сохранением ввода в базу данных, потому что текст сохраняется в базе данных только один раз [до тех пор, пока не появится какая-либо опция редактирования во внешней части], но просматривается несколько раз, поэтому вы сохраняете свой ЦП :)