Двойные кавычки в БД, нарушающие HTML-вывод

Question

Я пробовал все, и я до сих пор не могу понять это. addslahes(), str_replace(), htmlentities(), я просто не могу понять, почему двойные кавычки не отображаются на моем веб-сайте.

$sql = $con->prepare("SELECT * FROM `user_settings` WHERE `user_session` = '$user_session'"); 
$sql -> execute(); 

$result = $sql->fetchAll(PDO::FETCH_ASSOC); 

foreach ($result as $row) { 
    $advertising_1 = $row['advertising_1']; 
    $advertising_2 = $row['advertising_2']; 
    $website_name = $row['website_name']; 
    $website_url = $row['website_url']; 
    $statistics = $row['statistics']; 
} 
echo '<input type="text" name="website_name" placeholder="Your Website URL" value="'. $website_name. '" />' ?> 

Может кто-нибудь объяснить, где я здесь ошибся? Возникает проблема с двойными кавычками в моей строке. Одиночные кавычки были исправлены с помощью mysql_escape, но, похоже, они устарели.

Answer 1

Вам необходимо избежать данных, которые вы выводите в браузер, использовать htmlspecialchars и использовать константу кавычек (ENT_QUOTES), чтобы все кавычки были преобразованы в объекты. Обратите внимание, что также предотвращаются/выполняются инъекции XSS. Элементы/атрибуты закрыты, когда они не должны быть, а затем написан вредоносный код.

echo htmlspecialchars('Encode all of these "test" test \'test \'', ENT_QUOTES); 

Выход:

Encode all of these "test" test 'test ' 

и в браузере:

закодировать все эти " тест " тест ' тест '

Кроме того, из кода вы diş Вы играли неправильно, придумывая подготовленные заявления. Значения должны быть связаны, а не конкатенироваться с вашим запросом. Таким образом, драйвер PDO будет обрабатывать цитирование/экранирование. Это может привести к подобным проблемам для вас в будущем, если вы продолжите использовать его, как есть. Также открывает вам SQL-инъекции.

Для получения дополнительной информации о подготовленных заявлений см: http://php.net/manual/en/pdo.prepared-statements.php