php - 指定页面的某些部分被解释为纯文本

Question

我是网络开发的初学者，我正在开发一个允许用户发表各种讨论和其他人评论和回复的网站。我面临的问题是，用户几乎可以发布任何内容，包括代码片段和任何其他可能包括单引号、双引号甚至一些 html 内容的内容。

当发布此类帖子时，它会干预 MySQL 插入查询，因为引号结束了字符串，结果查询失败。即使当我使用 php 显示字符串时，该字符串也会被浏览器解释为 html，而我希望它被解释为文本。我是否必须手动解析输入字符串并转义所有特殊字符？还是有别的办法？

Answer 1

你需要阅读一些东西

SQL Injection - 什么是 SQL 注入(inject)以及如何防止它

PHP PDO - 使用 PHP PDO 降低了注入(inject)的风险

htmlentities

基本前提是，清理所有传入的输入并对传出的所有内容进行编码。不要相信任何用户输入。

如果可能，使用白名单而不是黑名单。

编辑:

如果您想在其中显示 HTML 或其他代码内容，用户需要用 <pre> 标记这些区域标签。或者你可以使用类似 markdown 的东西格式变化。