2

Привет. Сразу перейду к делу. Есть следующий код:

$test = "Каждый 'охотник' желает знать.";
// $test = addslashes($test); // это не помогло
echo "<input type='text' value=' " . $test . " ' />";

Как видно из этого кода, в тексте имеются одинарные кавычки. Данный текст через переменную вставляется в текстовое поле. Атрибут value заключён в одинарные кавычки. Получается что одинарные кавычки, находятся внутри других одинарных кавычек. При выводе на страницу, текст в текстовом поле, урезается до первой кавычки. Аналогичная ситуация наблюдается и в случае, если вместо одинарных кавычек, будут двойные кавычки.

Данные в это текстовое поле вставляются из БД. Посему я не могу знать, какие именно кавычки нам попадутся в тексте. Как правильно вставить кавычки в текстовое поле? Есть ли в PHP что-нибудь полезное для таковых ситуаций?

5 ответов 5

6

Зачем рисковать - вот хорошая функция htmlspecialchars.

3

Вы можете использовать функцию htmlspecialchars().

2

При выводе любой строки на страницу ее желательно обработать функцией htmlspecialchars, если только не предполагается, что она должна содержать в себе кусок HTML-разметки:

echo "<input type='text' value=' " . htmlspecialchars($test) . " ' />";
1

Чисто ради разнообразия ответов: можно заменять все кавычки (из БД) одного типа на другой. Например все одинарные кавычки заменять двойными при выводе, а в инпуте использовать одинарные.

Самый на мой взгляд правильный вариант - использовать фреймворк который сам будет думать о такой проблеме (и множестве других).

8
  • Как предложено из вариантов с помощью htmlspecialchars($test, ENT_QUOTES) мы заменим кавычки на HTML cущности. Но ведь при последующей отправке на сервер и последующей записи этого текста в БД, стало быть придётся раскодировать этот текст обратно. Как это можно сделать? Есть вариант с html_entity_decode(), но так ли обычно решаются подобные задачи?
    – StasHappy
    27 апр 2015 в 9:23
  • Как я уже писал - лучше использовать фреймворк. Это не должно быть вашей головной болью. Смотря что вы храните. Если например код - лучше ничего не менять вообще, а если просто комментарии, например, то просто меняйте на html и не думайте лишний раз.
    – Caravus
    27 апр 2015 в 9:27
  • 1
    Да имеет, в конце концов фреймворк же будет написан на PHP :) Другой вопрос что чтобы предугадать все возможные проблемы вам придётся написать свой фреймворк. Так не лучше ли использовать то что написали много-много умных людей с многолетним опытом работы?
    – Caravus
    27 апр 2015 в 9:30
  • 1
    @stashappy "придётся раскодировать этот текст обратно" Вы ошибаетесь - не придется. При отправке значений через запрос они кодируются другим алгоритмом и прозрачно декодируются интерпретатором php. А вот перед вставкой в базу нужно будет экранировать другие символы 27 апр 2015 в 9:50
  • 1
    @stashappy Так это по-умолчанию работает. Насколько я понимаю это даже невозможно отключить. Есть еще magic_quotes но это, на мой вгляд, полнейшая чушь и почти везде отключено (я дополнительно через .htaccess чаще всего отключаю) 27 апр 2015 в 10:22
0

Используйте htmlentities например:

$test = "Каждый 'охотник' желает знать.";
$testClean = htmlentities($test, ENT_QUOTES | ENT_HTML401);
echo "<input type='text' value=' " . $testClean . " ' />";
2
  • 1
    htmlentities - избыточная функция для указанной цели. Мне кажется хорошей практикой является использование двойных кавычек в качестве ограничителей значений аттрибутов и экранирование символов ', ", >, <, & (что и делает функция htmlspecialchars) 27 апр 2015 в 9:45
  • @tutankhamun да, в данном случае достаточно htmlspecialchars. 27 апр 2015 в 9:56

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.