Czy da się...

[Pieter]

Czy da się jakoś obejść htmlspecialchars?

[gnysek]

Gdyby się dało, to jaki byłby sens tej funkcji?

[Pieter]

gdzieś słyszałem, że sama ta funkcja może być niewystarczająca, dlatego pytam...

[Kofel]

Nie da się ;d

[gnysek]

Tak, bo jak będzie tekst

<script';

i w skrypcie zrobisz takie coś:

$x=htmlspecialchars("<script';");
$sql="SELECT * FROM baza WHERE pole = '$x'";

no to właśnie mamy klasyczny przykład SQL INJECTION.

Należy wykonać jeszcze addslashes(); (chyba, że tekst leci z formularza metodą POST, to wtedy już powinien być pod tym względem poprawiony).

[Kofel]

tak jeśli masz magic quotes, a przed SQL Injection niezabepizeczysz się htmlspecialcharsem, ta funkcja służy do czego innego Panie, ile nad tym myślałeś?

[Pieter]

do XSS: p

[gnysek]

nom, ale znalazłem odpowiedź na stwierdzenie, że "gdzieś słyszałem, że sama ta funkcja może być niewystarczająca".

[Kofel]

Nie znalazłeś odpowiedzi, szukałeś igły w stobie siana, wtf? Chyba logiczne że funkcja która do danej czynności się nie nadaje nie będzie wystarczająca w danym momencie? lol