Избегайте ввода MySQL и XSS

Question

Безопасен ли этот способ для вставки данных в БД?

$var = mysql_real_escape_string(htmlspecialchars(stripcslashes($_POST["address"]), ENT_QUOTES, "ISO-8859-1")); 

Answer 1

Нет «серебряной пули».

Но, возможно, один из самых эффективных способов для защиты от инъекции SQL, чтобы использовать подготовленные заявления:

http://dev.mysql.com/doc/refman/5.0/en/sql-syntax-prepared-statements.html

Другой, не менее эффективная защита заключается в использовании самых современных, безопасный API, MySql доступны: либо Mysqli (объектно-ориентированный) или PDO SQL:

http://php.net/manual/en/mysqlinfo.api.choosing.php

Вот ссылка хорошей ссылки о SQL инъекций, и как вы можете снизить риски в вашем МЫСЕ QL код:

http://php.net/manual/en/security.database.sql-injection.php

Два руководящих принципов я настоятельно призываю вас следовать:

1) Вы должны НЕ использовать старый, устаревший MySql API для любого нового кода. Вместо этого используйте MySQLi или PDO.

2) Вы должны NOT разрешить ввод исходного кода в любом месте около оператора SQL. Осторожно проверяйте свои данные и, если это возможно, используйте подготовленные заявления.

IMHO ...