Ужос.

Сможешь мне внятно объяснить, что делает эта функция и зачем?

А за тем, что бы в базу не попала вот такая \" зараза. Потому что при выводе в какое нибудь текстовое поле получится вот такое вот value="\"" говно

а почему нельзя stripslashes воспользоваться?

На что заменяются... И куда должен закрасться злостный скрипт?

И что он там будет делать, поведай мне, темному, в базе этой?

То что в первом посте, это ещё недописанный скрипт.
там ещё будет абдейт дб.

Unlikely, так никто ж не запрещает эти две функции вместе использовать

Ты не просто недопонимаешь, а непонимаешь вообще ничего.
Скрипт, это не огромный рыжий таракан, который прокравшись в базу начнет по ночам ногти обкусывать. То, что находится в базе - обычный текст. И брички <> там точно так же вредны, как и буква Ё. Или ЙО.
Скриптом этот текст станет только в браузере пользователя. А теперь скажи, почему он не станет таковым у тебя?
Потому что ты считаешь, что текст в базу может попасть только из твоей формы. И смело легкомысленно выдаешь текст из базы пользователю не обработанным. Свято веря, что бричек в базе нет

А я вот ломану базу или шелл запущу. И столько бричек тебе накидаю туда, ты за всю жизнь их все не отловишь.

Обрабатывать текст нужно на выходе, а не на входе.
А по сему все эти замены и htmlspecialchars() при записи - мертвому припарка.

Так кто кому моск и...?

Unlikely

Читайте внимательно http://phpforum.ru/index.php?showtopic=21213 очень интересно написано

Для работы с БД, можно пользоваться простым правилом:

На входе mysql_real_escape_string на выходе htmlspecialchars и будет самый смак

А я то чё... Я сказал что есть - ужос. Если тебе побоку - чего пристал?

3. XSS
Сам по себе этот вид атаки за редким исключением, не наносит вреда самому сайту. Но он позволяет получить доступ к данным, обладая которыми, жулик может уже натворить беды. Допустим он стащит пароль в админку.
Механизм этой атаки чем то похож на SQL инъекцию. Есть даже такой термин - html-инъекция. Смысл её заключается в том, что нужно выбраться в тело тега и написать туда нужные команды на JS. Или закрыть тег и написать дальше свой. Фрейм к примеру. Или допустим прочитать куки и отправить их на снифер.

На примере такого простого фрагмента, можно убедиться, как это работает:

<form action="?" method="post">
<input type="text" name="text" value="<?php echo $_POST['text'] ?>" /><br />
<input name="ok" type="submit" />
</form>

если ввести в поле допустим такой текст:

"/> <iframe src="http://www.ruporno.org" />


Попробуйте, будет очень интересно.
Тут мы закрыли тег <input> и открыли более другой.

Бороться с этим видом атаки очень просто. Нужно данные, перед выводом в поток (в браузер) обработать функцией htmlspecialchars(). Она заменит символы разметки на эквиваленты, которые не смогут влиять на HTML и соответственно не смогут спровоцировать нежелательные действия программы.

Я что, не этим занимался? Или нужно ещё и как то так :
$res = mysql_fetch_array($result,MYSQL_ASSOC)
$var = htmlspecialchars($res) ;
?

Блин. Не в коня корм...
Читай внимательно, я устал уже.

А где ты у меня там видел такую функцию clean_text()?
Ничего удивительного, что хрень вышла.

Ну и славно, коли так. А вообще, если серьёзно настроен, то вот это для тебя. Там есть ответы и разборы кстати. Но лучше самому денек не пожалеть.

Вот так вот получилось:

<?PHP

    require "db_connect.php" ;
    
    $query = "SELECT * FROM `settings`" ;
    $result = mysql_query ($query, $connection) ;

    if (!$result) {
        die ("Ошибка выполнения запроса.<br />mysql_error: ".mysql_error()) ;
    }

    $res = mysql_fetch_array ($result, MYSQL_ASSOC) ;

    
    $cleanarr = array();
    
    
    foreach ($res as $key => $value) {
        $value = stripslashes($value) ;
        $cleanarr[$key] = htmlspecialchars ($value, ENT_QUOTES, "UTF-8", false) ;
    }

//    echo "<pre>" ;
//    print_r($cleanarr);
//    echo "</pre>" ;

?>

<form action="" name = "settings" method = "post">
    <input size = "30" name = "website_title" type = "text" value = "<?=$cleanarr['website_title'];?>" /> Title<br />
    <textarea cols="25" rows="4" name = "website_description"><?=$cleanarr['website_description'];?></textarea> Description<br />
    <textarea cols="25" rows="4" name = "website_keywords"><?=$cleanarr['website_keywords'];?></textarea> Keywords<br />
    <input size = "30" name = "website_email" type = "text" value = "<?=$cleanarr['website_email'];?>" /> Email<br />
    <input name = "submit" type = "submit" value = "Save Settings" /><br />
</form>

Вот только сомневаюсь что тут:

    foreach ($res as $key => $value) {
        $value = stripslashes($value) ;
        $cleanarr[$key] = htmlspecialchars ($value, ENT_QUOTES, "UTF-8", false) ;
    }

у меня правильно всё сделано...
Но работает.

$value = stripslashes($value)

это зачем?

В базе не должно быть лишних бэкслэшей. В базе должно быть только то, что ввел юзер. Значит ты не победил магические кавычки перед записью.

Этого просто не может быть. Что то ты напутал или phpmyadmin глючит.

phpmyadmin показывает что стоит просто кавычка.

Может в самом mysql есть какая то подобная функция?

Нет. Где то ты просто напартачил.

<?PHP

    $BASE_URL = "" ; // Базовый УРЛ
        
    $DB_HOST = "localhost" ; // Адрес сервера
    $DB_USER = "" ; // Логин
    $DB_PASS = "" ; // Пароль
    $DB_NAME = "" ; // Имя базы данных

?>

<?PHP

    header ('Content-Type: text/html; charset=UTF-8', true) ;
    
    require_once "db_config.php" ;
    
    $connection = "" ;


    $connection = mysql_connect ($DB_HOST, $DB_USER, $DB_PASS) ;
    
    if (!$connection) {
        die ("Ошибка соединения с базой данных.<br />mysql_error: ".mysql_error()) ;
    }

    else {
        $db_select = mysql_select_db ($DB_NAME) ;
            if (!$db_select) {
                die ("Ошибка выбора базы данных.<br />mysql_error: ".mysql_error()) ;
            } 

    }

    mysql_query ("set names utf8") or die ("Set names utf8 failed") ;

?>

<?PHP

    require "db_connect.php" ;
    
    $query = "SELECT * FROM `settings`" ;
    $result = mysql_query ($query, $connection) ;

    if (!$result) {
        die ("Ошибка выполнения запроса.<br />mysql_error: ".mysql_error()) ;
    }

    $res = mysql_fetch_array ($result) ;

    
    $cleanarr = array();
    
    
    foreach ($res as $key => $value) {
        //$value = stripslashes ($value) ;
        $cleanarr[$key] = htmlspecialchars ($value, ENT_QUOTES, "UTF-8", false) ;
    }

//    echo "<pre>" ;
//    print_r($cleanarr);
//    echo "</pre>" ;

?>

<form action="" name = "settings" method = "post">
    <input size = "30" name = "website_title" type = "text" value = "<?=$cleanarr['website_title'];?>" /> Title<br />
    <textarea cols="25" rows="4" name = "website_description"><?=$cleanarr['website_description'];?></textarea> Description<br />
    <textarea cols="25" rows="4" name = "website_keywords"><?=$cleanarr['website_keywords'];?></textarea> Keywords<br />
    <input size = "30" name = "website_email" type = "text" value = "<?=$cleanarr['website_email'];?>" /> Email<br />
    <input name = "submit" type = "submit" value = "Save Settings" /><br />
</form>

Значит в базу с бэкслэшем все же записал.

Перепроверь 30 раз. Потому что этого не может быть.

UPDATE `unlikely`.`settings` SET `website_title` = '" Unlikely' WHERE `settings`.`id` =1;

И что это?

\&quot; Вот так выглядит кавычка после

    foreach ($res as $key => $value) {
        //$value = stripslashes ($value) ;
        $cleanarr[$key] = htmlspecialchars ($value, ENT_QUOTES, "UTF-8", false) ;
    }

Ну значит у тебя Барабашка завелся в компе.
Зтого просто не может быть.

Я тут взял пару уроков телепатии... А скажи, сколько строк в таблице?
Вот так попробуй ка запрос

$query = "SELECT * FROM `settings` WHERE `id` = 1 " ;

$query = "SELECT * FROM `settings` WHERE `id` = 1 " ;

Никак не повлияло на результат.

Ну это уже просто неправда. Или ты издеваешься или выкинь свой комп.

Вот дамп

CREATE TABLE `test` (
  `text` varchar(10) NOT NULL
) ENGINE=MyISAM DEFAULT CHARSET=utf8;

-- 
-- Дамп данных таблицы `test`
-- 

INSERT INTO `test` VALUES ('""""""""""');

Вот скрипт

     header ('Content-Type: text/html; charset=UTF-8', true) ;
    
    require_once "db_config.php" ;
	
    $result = mysql_query ("SELECT `test` FROM `test`") ;

    echo mysql_result ($result, 0) ;

Что покажет?

Warning: mysql_result(): supplied argument is not a valid MySQL result resource

Была ошибка в запросе.
"SELECT `test` FROM `test`"
сделал
"SELECT `text` FROM `test`"

вывело
\"\"\"\"\"\"\"\"\"\"

Пипец хостинг... Кто это, если не секрет?
Ну тут тебе придется действительно раздевать. Только если придется переносить на нормальный, будет ляп.

Ну вообще то особо ничего страшного, просто функция съесть и нужные бэкслэши. А они бывают очень нужны...
Вот это лишние детали , ENT_QUOTES, "UTF-8", false
Вполне годится и просто

$cleanarr[$key] = htmlspecialchars ($value);

Отсюда следует, что если бы не дурацкий хостинг, можно было бы и без цикла

$res = array_map('htmlspecialchars', $res);

И лучше юзать не mysql_fetch_array() а mysql_fetch_assoc()

Далее.

Вот сделал сохранение информации при нажатии на сабмит.

    if ($_POST) {
        foreach ($_POST as $key => $value) {
            $value = stripslashes ($value) ;
            $_POST[$key] = htmlspecialchars ($value, ENT_QUOTES, "UTF-8", false) ;
        }
        
        $query = "UPDATE `".$DB_NAME."`.`settings` SET `website_title` = '".$_POST['website_title']."',
        `website_description` = '".$_POST['website_description']."',
        `website_keywords` = '".$_POST['website_keywords']."',
        `website_email` = '".$_POST['website_email']."' WHERE `settings`.`id` =1" ;
        
        mysql_query ($query, $connection) ;
        
        echo $query ;
        
    }

Всё в принципе работает.
Вот только обратно данные в форму возвращаются только если обратиться к скрипту ещё 1 раз.
Я так понимаю, нужно делать ещё 1 запрос SELECT * FROM `settings` WHERE `id` = 1
и опять всё выводить в форму?

magic_quotes_runtime
Оказалось включенным.

Результат $res = array_map('htmlspecialchars', $res);
Если в бд уже содержится преобразованный символ функцией htmlspecialchars то он преобразуется снова и получается что то вроде & amp ; quot ;

Если правильно понял, что тебе нужно:

htmlspecialchars_decode()

Не, нужно при выводе данных из бд, преобразовать всякие символы htmlspecialchars. И не преобразовывать по новой & quot ; вот такие.

    foreach( $res as $key => $value ) {
        $res[$key] = htmlspecialchars ($value, ENT_QUOTES, "UTF-8", false) ;
    }

Так, всё работает.

И тоже самое при записи данных в бд

        foreach( $_POST as $key => $value ) {
            $_POST[$key] = htmlspecialchars ($value, ENT_QUOTES, "UTF-8", false) ;
        }