Txt til db via form?

Hvis du mener med sikkerhed bør du nok lave sådan her:

$_POST['navn'] = addslashes($_POST['navn']);

også når du skal bruge det igen stripslaches($str);

Hvis du også ønsker at komme af med html-tags:

$_POST['navn'] = ereg_replace("<([^>]+)>", "", $_POST['navn']);

Ja jeg mener med sikkerhed.

Hvad bruger man mysql_escape_string($_POST['navn']) til?

Den har jeg ikke set før, slå den op på www.mysql.com

Skal jeg bruge stripslaches($str) til når jeg skal udskrive?

sådan?

echo stripslaches($navn);

$_POST['navn'] = addslashes($_POST['navn']);
$_POST['navn'] = ereg_replace("<([^>]+)>", "", $_POST['navn']);

Det skulle være nok.

Hvad sker der hvis jeg ikke bruger addslashes($_POST['navn']) og kun bruger $navn?

Så lægger du bare $_POST['navn'] overi variablen $navn

addslaches tilføjer en \ (backslaches) til ' hvilket gør at den tekst man poster ikke ville kunne udføre SQL kommandoer.

Altså jeg skal gøre sådan?

<?php
$navn = addslashes($_POST['navn']);
mysql_query("INSERT INTO table (navn) VALUES ('$navn')");
?>
<form method="POST" action="<? $_SERVER['PHP_SELF'] ?>">
<input type="text" name="navn" size="20"> <input type="submit" value="Skriv">
</form>

Og når jeg skal udskrive det skal det så se sådan ud??

$query=mysql_query("SELECT * FROM table ORDER BY id DESC");
while($row = mysql_fetch_array($query)) {
    echo $row['navn'];
}

$query=mysql_query("SELECT * FROM table ORDER BY id DESC");
while($row = mysql_fetch_array($query)) {
    echo stripslashes($row['navn']);
}

Og med de 2 eks. som jeg kom med er sikkere nok?

Skal jeg også bruge addslashes($_POST['navn']) til UPDATE ?

Du skal bruge det alle de steder du vil tro at folk kan skrive sql kommandoer, hvilket de også kan når de opdatere deres tekst.

De steder hvor jeg kun kan skrive så er det vel nok med $_POST['navn'] ?

Og de steder hvor alle kan skrive skal jeg vel bruge addslashes($_POST['navn']) ?

Ja, som sagt alle steder hvor du tror det kan blive misbrugt og der skrives sql kommandoer skal du have det.

takker

Se: http://dk.php.net/manual/en/function.mysql-real-escape-string.php

Dit eget forslag med mysql_escape_string() var fint nok, men ovennævnte variant er en anelse bedre, da den også tager forbehold for sprog-variationer. En løsning med add- og stripslashes er dog også udmærket til formålet.