Inyeccion sql

[spacecowboy]

Iniciado por Triby

Lo de las comillas simples con \ antepuesto es por configuracion de PHP en el servidor que tiene activas las comillas magicas, por lo que deberias:

Código PHP:

// Verificar si esta activa la opcion
if(get_magic_quotes_gpc()) {
    $valor_de_post = stripslashes($_POST['valor_de_post']);
} else {
    $valor_de_post = $_POST['valor_de_post'];
}
 
// Antes de insertar en tu base de datos:
$valor_de_post = mysql_real_escape_string($valor_de_post);
 

Con esto solo evitas inyeccion en base de datos, te faltaria todavia ver de que manera tratas la demas informacion para usar htmlentities() o alguna otra que evite insercion de javascript y otros bichos.

vale muchas gracias, ya estoy usando el htmlentities para que evitar que se imprima codigo html o algo asi, y lo imprime plano... esta bien?
y lo de las comillas magicas si estan activadas, pero como es un server compartido no tengo acceso para desactivarlas

por cierto estoy usando htmlentities() a la hora de insertar datos, pero cuando lo consultos lohago con nl2br
echo nl2br("$variable");

lo que no me gusta de eso es que me muestra el texto con los "enters" que la persona le dio, y eso puede ser algo molesto...

ayuda por favor! tengo dudas que aun no he logrado resolver :S :(