Использует htmlspecialchars () для обработки HTML-данных для ввода-вывода, для плохой конструкции базы данных MySQL?

Возможный дубликат:
Каковы наилучшие функции деструкции ввода PHP?

Использует htmlspecialchars () для обработки HTML-данных для ввода-вывода, для плохой конструкции базы данных MySQL?

• Проблема с динамическим формированием изображений SVG
• Документ Root PHP
• CSS исчезает при добавлении конечной косой черты в URL
• Как я могу выполнить функцию «Сохранить ссылку как» одним щелчком мыши по ссылке?
• Как извлечь img src, title и alt из html с помощью php?

Если вы вместо этого просто не разрешаете эти «опасные» признаки, потому что в нем будут отображаться b-теги, i-теги и другие? И как это сделать?

Я спрашиваю, потому что он говорит по вики http://en.wikipedia.org/wiki/HTML_sanitization

«Санитарная обработка HTML может использоваться для защиты от межсайтовых сценариев и атак SQL-инъекций путем дезинфекции любого HTML-кода, представленного пользователем».

Поэтому, помимо использования подготовленных инструкций PDO, чтобы предотвратить SQL-инъекции, я хочу использовать этот htmlspecialchars для всех входных и выходных данных. Но, может быть, я должен использовать что-то еще?

Является ли это хорошим способом сделать инструкцию insert?

$type= htmlspecialchars($_POST['animaltype']); $name= htmlspecialchars($_POST['animalname']); $age= htmlspecialchars($_POST['animalage']); $descr= htmlspecialchars($_POST['animaldescription']); $foto= htmlspecialchars($_POST['animalfotourl']); $date=htmlspecialchars($_POST['animalhomelessdate']); $sqlquery = "INSERT INTO animals_tbl(animaltype, animalname, animalage, animaldescription, animalfotourl, animalhomelesssince) VALUES (':type',':name',':age',':descr', ':foto', ':date')"; $stmt = $conn->prepare($sqlquery); $stmt->bindParam(':type',$type, PDO::PARAM_STR); $stmt->bindParam(':name',$name, PDO::PARAM_STR); $stmt->bindParam(':age',$age, PDO::PARAM_INT); $stmt->bindParam(':descr',$descr, PDO::PARAM_STR); $stmt->bindParam(':foto',$foto, PDO::PARAM_STR); $stmt->bindParam(':date',$date, PDO::PARAM_STR); $stmt->execute();