我很新于PHP,基本上我正在尝试为我的网站创建一个评论系统。我有以下功能:
$input = $_POST['comment'];
function cleanUserInput($input) { $input = mysql_real_escape_string($input); $input = htmlentities($input); return $input; }
所以问题是,mysql_real_escape_string单独足以防止SQL注入吗?htmlentities()单独足以防止用户输入的脚本、HTML和样式生效并仅显示为文本吗?
还是说我需要向我的函数添加更多内容来使输入真正无害?
function cleanUserInput($input) { $input = mysql_real_escape_string($input); $input = htmlentities($input); return $input; }
所以问题是,mysql_real_escape_string单独足以防止SQL注入吗?htmlentities()单独足以防止用户输入的脚本、HTML和样式生效并仅显示为文本吗?
还是说我需要向我的函数添加更多内容来使输入真正无害?