addslashes para consulta a base de datos

[tonydx16]

Tengo la siguiente variable (recibo de un comentario)

Código PHP:

$var =  addslashes($_POST['campo']);
 

tengo entendio que addslashes() se debe usar cuando creamos un nuevo registro.

entonces en mi bd se almacena así:

este es un \"ejemplo\&quot

y para mostrar el registro:

Código PHP:

stripcslashes($resultado['comentario']));
 

y lo q muestra: este es un "ejemplo"
es lo correcto?

[JaimeMSE]

Si escribes en un input por ejemplo:

<htmll><etiqueta="hola">Nombre</etiqueta></htmll>

Con eso que estás haciendo, mostrarías sólo: NOMBRE sin las etiquetas,
y en la DB (en mi caso) se guarda tal cual, ya que interpreta el código.

Para tu caso usa: htmlspecialchars al mostrarlo.

[wsoul]

pues yo uso

mysql_real_escape_string

http://php.net/manual/es/function.my...ape-string.php

saludos