POSTに関するセキュリティー

POSTの際に、エスケープしないと色々と危険な話。

どうやら、ただhtmlspecialchars を使うだけでなく、
第二引数にENT_QUOTESをいれて シングルクォートもエスケープしなさいと。
ついでに文字コードもビシッと設定。

$hoge= htmlspecialchars($_POST['size'], ENT_QUOTES, mb_internal_encoding("UTF-8"));


mb_internal_encoding


追記：2008／11／11
htmlspecialcharsでmb_internal_encodingしたらエラーでた。
消したら直ったので、理由は調べてない。