Slå HTML fra i tagwall

Jeg plejer at bruge koden:

$str = str_replace('<', '&lt', $str);
$str = str_replace('>', '&gt', $str);

Hvilket forhindre brugern i at skrive HTML/JS eller andre skadelige ting.

Men hvad er det egentlig helt præcist du spørger om? Ovenstående virker vel også?

<ole>

Du kan også:
    $str = preg_replace("/<.*?>/", "", $str);

/mvh
</bole>

Spørgsmålet lyder mere på; Hvor skal jeg sætte det stump kode der forhindrer HTML

Hvor du modtager det fra brugeren

Du skal jo ikke sætte noget ind i din DB, du ikke ønsker  :)

Det vil sige der hvor det bliver sendt til databasen

Prøv lige at vis det her;

include "connect.php";
if ($_GET[tag] == "ok") {

$brugernavn = $_SESSION['username'];
$habbo = $_SESSION['habbo'];
$besked = $_POST[besked];
$dato = $_POST[dato];




mysql_query("INSERT INTO tagwall (brugernavn, habbo, besked, dato) VALUES ('$brugernavn', '$habbo', '$besked',NOW())");


}
?>

Har prøvet at sætte det der, men det lykkedes ikke - så troede at det var et andet steds :P

Måske nemmere med hele koden;



<?
include "fortekst.php";
include "connect.php";
if ($_GET[tag] == "ok") {

$brugernavn = $_SESSION['username'];
$habbo = $_SESSION['habbo'];
$besked = $_POST[besked];
$dato = $_POST[dato];




mysql_query("INSERT INTO tagwall (brugernavn, habbo, besked, dato) VALUES ('$brugernavn', '$habbo', '$besked',NOW())");


}
?>
<br><br>
<form method="POST" action="?tag=ok">
<input type="text" name="besked" style="width: 80%"> <input type="submit" value="Tag">
</form>
<a href="http://www.agertz.dk/Habbo/HP/tagwall.php">OPDATER</a>

<hr>
<br>

<?

if ($_POST['start'] == "") $start = 0;
else $start = $_POST['start'];
$ressssss = mysql_query("SELECT * FROM tagwall");
$antal1 = mysql_num_rows($ressssss);
$antal = 10;


$res = mysql_query("SELECT * FROM tagwall order by id desc limit $start,$antal");
while ($row = mysql_fetch_array($res)){

$new = htmlspecialchars("$row[besked]", ENT_QUOTES);
$str = $new;
$str = str_replace("<i>", "", $str);
$str = str_replace("</i>", "", $str);
$str = str_replace("<u>", "", $str);
$str = str_replace("</u>", "", $str);
$str = str_replace("<b>", "", $str);
$str = str_replace("</b>", "", $str);
$str = str_replace("<h1>", "", $str);
$str = str_replace("<h2>", "", $str);
$str = str_replace("<h3>", "", $str);
$str = str_replace("<li>", "", $str);
$str = str_replace("</li>", "", $str);
$str = str_replace("<div>", "", $str);
$str = str_replace("</div>", "", $str);
$str = str_replace("<br>", "", $str);
$str = str_replace("<", "", $str);
$str = str_replace(">", "", $str);
?>
<table bgcolor="#99FFFF" border="0" width="100%" cellpadding="0" cellspacing="5" style="border: 5px solid #FFFFFF;">
<tr><td>

       
                <img src="http://www.habbo.dk/habbo-imaging/avatarimage?user=<?=$row[habbo]?>&img_format=gif&action=&gesture=sml&direction=2&head_direction=2&size=s" align="left">
                <b>skrevet af </b><i><a href="http://agertz.dk/Habbo/HP/profil.php?brugernavn=<?=$row[brugernavn]?>"><?=$row[brugernavn]?></a></i><b> - d. <?=$row[dato]?></b><br /><br />
                <?=$row[besked]?>
</td></tr></table><?
}
?>
<form action="#" method="post">

<select onchange="submit();" name="start">

<?
        $q = mysql_query("SELECT * FROM tagwall");
        $rows = mysql_num_rows($q);
        for ($i = 0;$i<ceil($rows/$antal);$i++) {
        echo "<option ";
        if ($start == ($i*$antal)) echo "selected ";
        echo "value=\"".($i*$antal)."\">
".($i+1);
}

echo "</select>";
echo "</form>";

include "eftertekst.php";

?>

$besked = preg_replace("/<.*?>/", "", $_POST["besked"]);
$dato = preg_replace("/<.*?>/", "", $_POST["dato"]);

- bortset fra, du vist aldrig sender nogen variabel 'dato'  :)

Tusind tak :D - Opret svar :D

Selvtak. Lad også kjeldsted lægge et, så vi kan dele  :)

Jeg giver bare dig pointene :) - Det var dig der gjorde at jeg kom videre. Men et tak skal da også lyde til Kjeldsted :D

Tak for points. Du burde nok også lige kikke på:
    http://dk.php.net/manual/en/function.mysql-real-escape-string.php

- og få sikret dine queries bedre  ;o)

Endelig kan man overveje den indbyggede http://php.net/strip_tags