Я сделал так:

$result = mysql_query ("SELECT `id`,`name`,`text` FROM `data`", $db);

while ($myrow = mysql_fetch_assoc($result))
{
$id = htmlspecialchars($myrow["id"]);
echo
''. htmlspecialchars($myrow["name"]) .'';

if (!isset($_COOKIE[$id]))
{
echo 
'<ol class="info">
<li><a href="info.php?id='. $id .'"></a></li>
</ol>';
}

echo ''. htmlspecialchars($myrow["text"]) .'';
}

Правильно или есть какой то более лучший вариант?

Какой тип данных хранится в ID? Возможно ли попадание внутрь другого типа? Что делает обработка htmlspecialchars... сиди и разбирайся, а не лепи что попало!

В ID хранится только число.
Обработку htmlspecialchars применял исходя из статьи(в самом низу).

xJlaIIax
htmlspecialchars нужно использовать при занесении в базу, а вообще читаем это
http://php.su/functions/?f=htmlspecialchars&choice=info

Nikitian
извиняюсь, перепутал

То есть htmlspecialchars нужно везде убрать там где происходит вывод данных из базы и можно использовать например при выводе комментариев?
Но зачем тогда в той статье порекомендовали всегда использовать эту функцию при выводе данных?

Нужно использовать там, куда могут проникнуть хакеры

xJlaIIax
Давай думать начнём. ID содержит число, и только число.
Где у нас может быть вредоносный скрипт, который нужно обработать? Для примера приведу текст:

<script>alert('HAHAHA');</script>

Теперь думаем, где может вывестись этот текст, вот там и обрабатываем.
И правило №2: вывести не ты или админ, а человек из-вне.

Почему ID может содержать не только число?
Значение для переменной ID берётся из базы, а в базе хранится только число.

Этот текст может вывести при отображении комментариев, так же скрипт может попасть с адресной строки с переменными.

Я до конца так и не понял почему он этой функцией обрабатывал при выводе данных в дискрипшине, в тайтле, при выводе поля text и т.д.

А ты без обработки занеси туда код следующего содержания:
"><script>alert('YO_HO_HO');</script>
И убедишься, зачем делать надо.

А ещё лучше, сделай свой сайт с формой для комментариев и не обработай её htmlspecialchars, итого я тебя ОЧЕНЬ быстро научу всё же использовать её Особенно когда на твоём сайте появится гейское порно!
П.С. Теперь нас поисковики будут находить по такому ключевому слову! )

xJlaIIax
Читай то, что я выше написал по этому поводу.
И админы часто сами кавычки ставят.
Напиши для тайтлов:
Фирма "Наши креведки" >>> у нас лучшие цены

inpost, из этого следует вывод, что всегда при выводе данных из базы нужно обрабатывать функцией htmlspecialchars?

Нет. Наша песня хороша, начинай сначала!
"Какой тип данных хранится в ID? Возможно ли попадание внутрь другого типа? Что делает обработка htmlspecialchars... сиди и разбирайся, а не лепи что попало!"

inpost, понял.

Обрабатывать переменную ID функцией htmlspecialchars нет смысла, так как там хранится только число и другие символы туда никак не попадут.
Потому что данные для переменной ID выбираются из таблицы data из столбца id, а у этого столбца стоит первичный ключ и автоинкремент.

Правильно?

первичный ключ может стоять и текстового поля. Надо смотреть на ТИП, а у id тип: (int) <- integer <- число

inpost, при выводе данных со столбцов с типом int обработку htmlspecialchars нет смысла использовать.
А вот при выводе данных например со столбцов типов varchar, text нужно использовать всегда.

Спасибо, запомню!(+)

xJlaIIax
Кроме тех случаев, когда тебе не надо обрабатывать Допустим введённая админом верстка страницы/текста/статики.

inpost, да, а то код работать не будет.

Завтра во всех местах буду исправлять, убирать бессмысленную обработку числа htmlspecialchars.

Ещё раз Спасибо!