htmlentities no funciona

[cocodj69]

Alguien sabe por que no funciona la función de php htmlentities. No me funciona tampoco htmlspecialchars.

$str = "A 'quote' is <b>bold</b>";
echo htmlentities($str); // Devuelve A 'quote' is <b>bold</b>

$new = htmlspecialchars("<a href='test'>Test</a>", ENT_QUOTES);
echo $new; // Devuelve <a href='test'>Test</a>

Tengo que modificar algo en el config.ini?

Gracias

[abimaelrc]

Pero ¿qué deseas ver? Porque si te fijas en el código fuente si debe estar convertido. Además si deseas convertir las comillas debes hacer uso del segundo parametro y escribir ENT_QUOTES.

[cocodj69]

Deseo convertir cualquier entidad html como <b> a en &lt;b&gt;

Sólo me funciona cuando lo inserto en la base de datos, pero en el ejemplo anterior is quiero ver la conversión no la realiza

Gracias

[Hidek1]

pero estas viendo la salida en el navegador?
por que recuerda que el navegador interpreta el html

mira el codigo de fuente o imprime dentro de un textarea

[abimaelrc]

Como te indique, mira el código fuente, sí lo esta haciendo, ya que el navegador te las está enseñado.

Edito:
Si deseas tambien verlo en el navegador, entonces usa doblemente htmlentities

Código PHP:

echo htmlentities(htmlentities($str));
 

[cocodj69]

Vale. Teneis razón.

Si lo está imprimiento en el código fuente.

Muchas gracias :)

Por cierto, sabeis cual es la mejor forma de evitar código malintencionado a través de formularios para ser insert en la base de datos; A través de mysql_real_escape_string or mediante htmlentities() ?

Gracias

[abimaelrc]

Lo aconsejable es usar mysql_real_escape_string. Luego con htmlentities muestras la información en la página web.

[cocodj69]

No sería mejor utilizar las 2 al insertar? o sólo htmlentities($str, ENT_QUOTES)?

Si utilizamos htmlentities cada vez que queramos visualizar un campo de texto se produce más sobrecarga!!

La sobrecarga de html en la base de datos sólo se produciria en el caso de introducir código malintenciando.

Tu como evitas los ataques tipo NOMBRE : <script>alert('hola')</script> ?

[abimaelrc]

Lo que sucede es que si luego en el futuro quieres hacer una busqueda en la base de datos, te va a costar trabajo ya que los caracteres especiales estarán convertidos conforme a su entidades. Lo mejor es usar mysql_real_escape_string y luego con htmlentities mostrarlo en la página web.

[cocodj69]

Supongo que bien ejecutar la función al insertar o al visualizar el texto es cuestión de gustos. Me gusta la idea de tener la información en la base de datos ya saneada.

Bien es verdad que puede ser molesto a la hora de reaizar consultas.

Veremos que decido.

Grácias por la ayuda