htmlentities - før eller efter database?

Det afhænger hvad data skal bruges til.

Hvis det indgår i et CMS system, og du senere skal kunne redigere i de data der er lagt i databasen, bør du ikke htmlentities'ere data.

Hvis det er data som ikke efterfølgende skal kunne redigeres (f.eks. en gæstebog), bør du  htmlentities'ere data før at de lægges i databasen. På den måde sikre du at du ikke skal bruge  htmlentities() hver gang data skal vises; Du udtrækker bare data og viser dem som de er. Dette spare på ressourcerne i din webserver.

Det er blot bruger-tilføjet data, f.eks. på forums, og andre formularer:) F.eks. i forummet er det jo meningen man skal kunne søge i gamle indlæg, så er det vel ikke optimalt hvis jeg har brugt htmlentities() når det bliver indsat i databasen?

Men jeg tænker allermest på sikkerheden, altså så man ikke som bruger kan smadre siden med html-tags osv, men er det da nok at bruge htmlspecialchars, og tjekke for get_magic_quotes_gpc, når man indsætter i db'en?

"man skal kunne søge i gamle indlæg" > Dette kan klares ved at du også bruger htmlentities() på søgekriteriet. Det er klart at dette giver et lille ekstra overhead ved en søgning, men dette skal holdes op imod at siden nok skal vises flere gange uden at der også søges.

"Men jeg tænker allermest på sikkerheden" > Dette har ikke noget at gøre med *hvornår* du kalder htmlentities() - kun at du *gør* det på et eller andet tidspunkt i forløbet.

Mht. sikkerhed omkring indsættelse i databasen (SQL injection), har dette intet at gøre med htmlentities() som pr. default ikke encoder enkelt '-tegn. Dette kan man dog sætte den til vha. at give ENT_QUOTES som 2. argument:

http://dk2.php.net/htmlentities

Sikkerhed omkring indsættelse i databasen, bør dog generelt ikke blandes sammen med sikkerhed omkring at man får indlejret fjentligt html-kode på siden (f.eks. Cross Site Scripting); Det er to forskellige typer af angreb, og de bør adresseres hver for sig.

Cross Site Scripting hvordan defineres det, og hvad kan man gøre for at undgå det?

Og tak for svaret på det andet, så bruger jeg htmlentities bare én gang i forløbet injection/udtræk, samt tjekker for om magic_quotes_gpc er sat og hvis ikke derefter bruger addslashes(), så skulle den være i vinkel?

Cross site scripting (XSS) er når hackertyper kan indlejre f.eks. jacascriptkode i en gæstebog - det modgås netop ved brug af htmlentities().

http://www.cgisecurity.com/articles/xss-faq.shtml

Har du fået svaret dit spørgsmål?

Hvad med lidt respons?

Sorry, jeps har fået svar på mit spørgsmål så smid endeligt et svar:)

Svar :^)