Перед вставкой — mysql_real_escape_string
. После выборки — htmlspecialchars
, или, лучше, шаблонизатором.
Т.е.:
- Введено: «
"Вася Пупкин" <vasya@example.org>
»
- В SQL идет: «
\"Вася Пупкин\" <vasya@example.org>
»
- Из БД выбирается: «
"Вася Пупкин" <vasya@example.org>
»
- В HTML выводим: «
"Вася Пупкин" <vasya@example.org>
»
Если «сырые» исходные данные гарантированно не нужны (даже поиск по ним не надо делать) — можно обрабатывать htmlspecialchars
и перед вставкой.
И подумайте про обновление. Обычно, это получается не так тяжело, как кажется на первый взгляд. Если у разработки конец жизни не за горами, то стоимость времени, потраченного, на обновление и перенос на порядок дешевле потенциальных затрат на опыты по некромантии с доисторическими технологиями. (Ну или, надеюсь, Вам за это платят достойно.)
htmlentities()
,htmlspecialchars()
, выводить достаточно используяnl2br()