php - htmlspecialchars 错误使用？

Question

大家好，查看了 php 文档并四处搜索，但没有任何乐趣。这是我的代码片段，htmlspecialchars 似乎不起作用，用错了吗？

$query="SELECT * FROM likes";
$result=mysql_query($query);

$num=mysql_numrows($result);
$liked=htmlspecialchars($liked, ENT_QUOTES);
$liked=$_POST['liked'];

$query = "INSERT INTO likes VALUES ('','$name','$liked')";

谢谢大家，詹姆斯

Answer 1

您正在用紧随其后的行中的 $_POST['liked'] 覆盖它。交换两条线。或者，直接将 POST 变量传递给函数:

$liked=htmlspecialchars($_POST['liked'], ENT_QUOTES);

无论如何，您应该使用 mysql_real_escape_string() 来转义您的 SQL 查询参数。仅在您即将显示数据时保存 HTML 转义符。