javascript - 如何防止 HTML 中的标签和脚本执行？

Question

这个问题已经有答案了:

How to prevent XSS with HTML/PHP? (9 个回答)

已关闭 9 年前。

我正在使用 Mysqli 中的预准备语句。这会将输入作为文本并将其作为文本提交，从而防止 SQL 注入(inject)。

当我从数据库读取文本时出现问题。我读取的文本在浏览器中执行!

例如 - 如果我写为输入:

<b>Hello</b> how r u?<br>
<script> alert('He is fine dnt wry!') </script>

这将按原样进入数据库。但是当我使用我的 SELECT 从数据库中读回它时查询，并显示它，而不是显示我的 <b>标签和 <script>标签被执行!

如何防止这种情况发生？

Answer 1

echo htmlentities("<b>Hello</b> how r u?<br>
<script> alert('He is fine dnt wry!') </script>");