PHP: input-boks

Det er et sikkerhedsspørgsmål....
Forestil dig at $_POST['pass'] har værdien:
' or user='brugernavn
<?php
$pass = $_POST['pass'];
$user = $_POST['user'];
$sql = "SELECT * FROM users where pass='$pass' AND user='$user'";
mysql_query($sql);
?>
$sql vil så se sådan her ud uden \:
SELECT * FROM users where pass='' or user='brugernavn' AND user='brugernavn'
$sql vil så se sådan her ud med \:
SELECT * FROM users where pass='\' or user=\'brugernavn' AND user='brugernavn'

Håber du kan se ideen!?

I princippet kan jeg komme op med meget ondere eksempler hvor hele databaser koruperes!

Det kaldes magic quotes og kan slåes til og fra i PHP.ini filen!
I det tilfælde bruger man stripslashes() og addslashes() i stedet for!

Vil det sige, at du synes jeg skal lade mine input-bokser være som de er, og også uden at bruge stripslashes?

Det kommer helt an på situationen!

Skal indholdet skrives til en database (MySQL eller lignende) så undgå at fjerne slashesne.

Skal indholdet vises igen (f.eks. på grund af en fejl...) så fjern slashene.

Generelt skal _ALT_ indhold i value="" konverteres til entyties:
" => &quot;
' => &#39;
< > => &lt; &gt;

htmlspecialchars()

Hvad er fordelen ved at ændre dem til det?

Prøv at se forskellen:
<input type="text" value="&quot;">
<input type="text" value="\"">

Normalt gør jeg bare:

<input type="text" value="<?=$row[text]?>">
<TEXTAREA name=text2><?PHP echo stripslashes($_POST[text2]); ?></TEXTAREA>

Hvordan skal disse så være istedet, for at være så sikre som mulig?

<TEXTAREA name=text2><?PHP echo htmlentities(stripslashes($_POST[text2]);)?></TEXTAREA>
<---- kan ikke gøres bedre! :P