Перед выводом в форме или перед записью в БД

htmlspecialchars($str, ENT_QUOTES)

sebastjan
проверьте значение сразу после получения из первой формы.
Скорее всего у Вас включен режим magic_quotes_gpc, искажающий данные уже на входе php.
Сравните значения до mysql_real_escape_string и после извлечения из БД. Наверняка они окажутся одинаковыми. А значит начиная от вызова mysql_real_escape_string() и завершая получением данных от MySQL-серера - логика обработки нигде не нарушена.

Проверяю что на выходе из базы , всё нормально если просто echo
Проверяю что в форме, а там двойные кавычки value="" mmmmmmm'=""
Поставил перед выводом в форму htmlspecialchars
Ничего не изменилось.
В чём проблемма не пойму?

Не нахожу ошибку?
Вот код

 
echo " 
<form action='{$_SERVER['HTTP_REFERER']}' method='post'>
<div class='zag-art'><input name='zagol' type='hidden'  value='".($row['name'])."'>".htmlspecialchars($row['name'])."</div>
 </form>";

Проверял ,когда без апострофа в ХТМЛ всё коректно, стоит ввести апостроф, появляються двойные кавычки
Может я как то неправильно форму генерирую?

htmlspecialchars надо также к тому где value=, к первому у тебя.

sebastjan
И что вывелось? Покажи исходный код страницы (этот участок).

mysql_real_escape_string() только экранирует кавычки перед помещением в БД. В самой БД они уже в чистом виде лежат. Естественно вы их извлекаете и получаете конфликт в html-коде. Кто их для html то обрабатывать будет? Почитайте пожалуйста внимательно http://www.php.ru/manual/function.htmlspecialchars.html (это типа тонкий намёк об ознакомлении с ENT_QUOTES)
P.S. Написал ведь всё в первом сообщении, что помешало проверить?

Проблемму решил,только как то горбато и не понятно про одинарные и двойные кавычки
Вот так не работало

value=' ".htmlspecialchars($row['name'])." '

А вот так работает

value=\"".htmlspecialchars($row['name'])."\"

При генерации формы все элементы в одинарных кавычках
старый код

echo "
 <form action='{$_SERVER['HTTP_REFERER']}' method='post'>
 <div class='zag-art'><input name='zagol' value='".htmlspecialchars($row['name'])."'>".htmlspecialchars($row['name'])."</div>
<input name='delet' type='submit' value='delet'>
 </form>";

Новый код

 <form action='".$_SERVER['HTTP_REFERER']."' method='post'>
 <input name='kategorija' type='hidden' value='".$_GET['artikel']."'> 
 <input name='zagol' value=\"".htmlspecialchars($row['name'])."\"><div class='zag-art'>".htmlspecialchars($row['name'])."</div>
<input name='delet' type='submit' value='delet'>
 </form>

Да мне всёж не очень то понятно, выше я привёл два варианта, как я понял дело одинарной и двойной кавычке при генерации формы.
Наткнулся чисто методом тыка.
Но не очень понимаю разницу.
Всё остальное типа магических кавычек не при чём, проверил ,магические кавычки отключенны.

Спасибо Michael, внимательно прочёл, теперь поняитно

sebastjan
Заглянул бы ко мне в подписи, то увидел, что я рекомендую выводить так:

echo ' // одинарные!
<input type="text" value="" /> - а тут уже двойные
<input type="text" value="'.htmlspecialchars($var).'" /> - а вот так переменную вставляем =)
';

sebastjan
w3c стандарты требуют использования двойных для свойств тегов HTML, если делаешь двойную, тогда тебе прийдется внутри каждую кавычку экранизировать, так проблем не будет вообще. Кстати, вот из-за того, что ты использовал в самом начале неправильные кавычки для свойств тега и была проблема, как видишь, w3c стандарты не ошибаются.
Разница в коде, читай:

echo '<input type="submit" value="submit" />';
echo "<input type=\"submit\" value=\"submit\" />"; // заметь, без экранизации всё выглядет удобнее.

Есть единственная проблема, что переносы \n\r необходимо писать в двойных, поэтому как альтернативу предлагаю:

$n = "\n\r";
echo '<input type="submit" value="submit" />'.$n;
echo '<input type="submit" value="submit" />'."\r\n";

Но так как переносы очень редко когда кто ставит при выведении данных через PHP, поэтому это так не существенно.
Вывести форму, если почитаешь внимательнее последнюю мою ссылку можно куда более простым способом, это способствует не только удобству восприятия, но и лучшей производительности и разделения логики на PHP и представления на HTML (модель MVC). Показываю на примере с условием:

<?php if($a = $b) { ?>
    <form action="" method="post">
        <input type="text" value="<?php echo htmlspecialchars($text); ?>" /> 
    </form>
<?php } else { ?>
    <form action="lalala.php" method="get">
        TRALALA
    </form>
<?php } ?>

Спасибо за разяснение, стало понятно.
По поводу разделения логики и ХТМЛ ,всё переделываю у себя.