Comment échapper correctement aux valeurs par défaut du formulaire html en php?

Question

Étant donné les deux extraits html / php suivants:

<input type="text" name="firstname" value="<?php echo $_POST['firstname']; ?>" />

et

<textarea name="content"><?php echo $_POST['content']; ?></textarea>

Quel codage de caractères dois-je utiliser pour les variables $_POST renvoyées? Puis-je utiliser des fonctions PHP intégrées? Veuillez supposer que les valeurs $_POST n'ont pas encore été codées. No magic ne cite pas rien.

Answer 1

Utilisez htmlspecialchars($_POST['firstname']) et htmlspecialchars($_POST['content']) .

Toujours échapper les chaînes avec htmlspecialchars() avant de les montrer à l'utilisateur.

Answer 2

Cependant, htmlspecialchars () ne vous aidera pas avec value='single quotes'

C'est ce qui se passe:

value='We're not using this in our "code"...'

Tout ce que vous voyez est We

Answer 3

htmlspecialchars fonctionnerait dans les deux cas. Examinez les différentes options de drapeau pour éviter que les guillemets ne posent un problème dans le cas input .