А если данные не только из POST могут придти? Допустим можно же приложение запустить из консоли.

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.

Ставим крест на REST?


_____________
Стимулятор ~yoomoney - 41001303250491

1. Экранирование и защита от SQL инъекций это по сути своей одно и тоже и этим должна заниматься базовая модель, от которой наследуются модели конкретных сущностей. Плюс, модель не должна напрямую работать с глобальными массивами вроде $_POST или $_GET. Контроллер должен ей передавать данные, а откуда уж они будут взяты, это решать ему.

2. Зачем нужно чистить html тэги при получении данных от пользователя? И что вообще значит "чистить"? Можно сделать strip_tags(), а можно htmlspecialchars() и это будут суть разные действия. В любом случае, при записи в БД я бы не рекомендовал делать ни того, ни другого. Эти манипуляции нужно делать только при выводе или отдаче клиенту через API.

_____________
Senior PHP developer: PHP5, MySQL, JavaScript, CakePHP, Yii/Yii2, Zend Framework, Smarty, XML/Xslt, JQuery, Jquery Mobile, Bootstrap, ExtJS, HTML, HTML5, CSS, Linux, SVN, Git, Memcached, Redis, MongoDB, Zend Guard, Ioncube, FFMpeg, PayPal, Webmoney, Qiwi, Facebook API, Vkontakte Api, Google API, Twitter Api, Steam Api.
Junior Android Developer: Android SDK, многопоточность, работа с HTTP запросами, JSON, SQLite, фрагменты.

Противоречит. В модель должны передаваться данные. "Чистить" их должна модель. Имеется ввиду валидация и может быть какая то фильтрация. Но модель ничего не должна знать, откуда взялись данные. Из POST, ШМОСТ или из под кровати.

Принять данные и передать их в модель - дело контроллера. Не настолько он должен быть тонким. Так что ответ скорее "б".

vagrand ответил более развернуто.

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.

Так если не ошибаюсь REST для API,а не для всего сайта или не права?

Виновата, больше такой ерунды не скажу.

Передавать без обработки, как есть?

Какая-то скотина периодически отправляет то массивы, то html код.
Тегов быть не должно-значит strip_tags()

Почему?

Поняла
Всем спасибо за ответы, если есть у кого что добавить-пишите.
Плюсики сегодня проставлю всем за оперативность и за подробные ответы.

То есть MVC + AJAX и мы получаем REST? Я думала это иначе как-то

Если кто-то передает не то, что ты ожидаешь, то надо провалидировать и выдать соответствующую ошибку, а не тихо записать в БД то, что тебя не удовлетворяет.

Если под обработкой ты подразумеваешь экранирование, то да, без нее. Это работа самой модели.

Как я уже писал выше, если ты не хочешь чтобы в твоих данных содержалось что-то не нужное, то надо сделать соответствующую валидацию и затем выдать пользователю ошибку, иначе ты рискуешь потерять часть данных при фильтрации. Например вот такой код:

$text = 'Some <b>simple</b> text <-> for test';
echo strip_tags($text);

Вернет строку "Some simple text for test", хотя возможно, что подстрока "<->" была важна, но ты ее вырезала и ее уже не вернуть. В таком случае лучше уже htmlspecialchars() при выводе сделать.



_____________
Senior PHP developer: PHP5, MySQL, JavaScript, CakePHP, Yii/Yii2, Zend Framework, Smarty, XML/Xslt, JQuery, Jquery Mobile, Bootstrap, ExtJS, HTML, HTML5, CSS, Linux, SVN, Git, Memcached, Redis, MongoDB, Zend Guard, Ioncube, FFMpeg, PayPal, Webmoney, Qiwi, Facebook API, Vkontakte Api, Google API, Twitter Api, Steam Api.
Junior Android Developer: Android SDK, многопоточность, работа с HTTP запросами, JSON, SQLite, фрагменты.

Так как я ожидаю слово длинной не более 25 символов, то я делаю так:если отправили массив-гасим и все, если html - то удаляем теги.

Поняла

на самом деле я приняла следующие допущения:обычный пользователь шкодить не будет и в худшем случае отправит текст с ошибками, хакер на то он и хакер, что отправит не через форму и не простую строку-поэтому максимально надо все херить и не жалеть. Надеюсь это более менее адекватно я поступаю.