echo $foo
не является безопасным.если он содержит '
, то после него ничего не будет видно, и он откроет двери для межсайтового скриптинга.
Я бы посоветовал сделать небольшую очистку, например, $foo = preg_replace("/'/", "'", $foo)
, учитывая, что вы вводите значение как выупомянутое выше.например,
<input name='bar' value='<?=$foo?>'>
Мне лично не нравится этот подход, и я предпочел бы использовать шаблоны или, если вам нужен html-код в php, тогда:
echo "<input name='bar' value='$foo'>";
, как для текстовых областей, незабудьте перевести <
и >
в <
и >
, чтобы быть в безопасности.