htmlentities php

[Blashak]

Hola,

Estoy guardando datos en la base de datos y ciertos caracteres como la ñ me los inserta de la siguiente manera.
año -->año

creo que es por la función htmlentities de php.
Cuando visualizo el contenido en la web se ve correctamente. Es correcto guardar la información así???

Un saludo

[pateketrueke]

El término "correcto" es relativo, si te funciona y no tienes problema con ello entonces es correcto para ti, y eso es completamente válido.

Pero puede que para otros conceptos simplemente no funcione, si yo quiero guardar HTML no lo escaparía usando entidades.

[egepe]

A mi parecer deberías poder insertar la Ññ en la base de datos. dependiendo de la base de datos puede ser que ésta no soporte los caracteres debes verificar eso.

En Mysql / Oracle / Postgres

$dato=htmlentities($tu_informacion_caracteres_espe ciales);
Pero esto guarda todo tipo de caracteres provenientes de html

además para ciertos caracteres en postgres debes usar también

$dato =pg_escape_string($tu_informacion_caracteres_espec iales);


Saludos

[Blashak]

Les comento,

Utlizo mysql y la funcion htmlentities es utilizada en todos los datos que se van a guardar en la base de datos para prevenir los ataques xss.


1. lo que me pasa es por utilizar htmlentities ?? o es problema de la codificacion web??

[dashtrash]

Depende de lo que vayas a hacer con la base de datos...Pero, desde luego, si vas a buscar en ella, con condiciones sobre columnas que contienen datos con entidades html...

Aparte, para lo que lo pretendes usar, no necesitas que los datos estén escapeados en tu base de datos.Necesitan estar escapeados cuando los muestres en la pagina web.

[Blashak]

Iniciado por dashtrash

Depende de lo que vayas a hacer con la base de datos...Pero, desde luego, si vas a buscar en ella, con condiciones sobre columnas que contienen datos con entidades html...

Aparte, para lo que lo pretendes usar, no necesitas que los datos estén escapeados en tu base de datos.Necesitan estar escapeados cuando los muestres en la pagina web.

No entiendo, por lo que leí siempre que se guarden datos en la base de datos se tiene que usar la función htmlentities para prevenir los ataques xss. Entonces, como hago para poder insertar los caracteres bien codificados??

[pateketrueke]

Iniciado por Blashak

No entiendo, por lo que leí siempre que se guarden datos en la base de datos se tiene que usar la función htmlentities para prevenir los ataques xss. Entonces, como hago para poder insertar los caracteres bien codificados??

Los ataques XSS sólo afectan a los navegadores.

Por eso debes escapar al imprimir como te han dicho, o mejor aún usar algún filtro de XSS para no tener que hacer todo eso.

Para insertar a la BD hazlo como siempre, simplemente no uses dicha función.

[Blashak]

Iniciado por pateketrueke

Los ataques XSS sólo afectan a los navegadores.

Por eso debes escapar al imprimir como te han dicho, o mejor aún usar algún filtro de XSS para no tener que hacer todo eso.

Para insertar a la BD hazlo como siempre, simplemente no uses dicha función.

vale, entonces entiendo que en los datos que tenga que printar por pantalla tengo que utilizar la funcion htmlentities pero si no la utilizo al guardar se pueden guardar datos como <script... esta bien eso??

[pateketrueke]

Un <script> en la base de datos no hace daño, sólo en tu navegador si no lo escapas apropiadamente.

[Blashak]

Iniciado por pateketrueke

Un <script> en la base de datos no hace daño, sólo en tu navegador si no lo escapas apropiadamente.

Vale entonces al guardar los datos basta con validar los campos y usar la función mysqli_real_escape_string??

Y la función htmlentities la utilizare en el array que me devuelva al hacer una consulta de la base de datos.

es correcto??

Un saludo

[rodrigo791]

Claro, así es, como te dijeron arriba simplemente usas htmlentities cuando muestres la información en el navegador, porque un <script> en tu BD no hace nada, pero en el cliente si.

[Blashak]

Ok, gracias.