php - PHP 中的 htmlspecialchars

Question

谁能帮我添加 htmlspecialchars 来防止这段代码中的 XSS:

<?PHP
    if(isset($_POST['update'])) { 
        $ts=$_POST['ts'];
        $user=$_POST['user'];

        mysql_query("UPDATE users SET block_newfriends='". mysql_real_escape_string($ts). "'  WHERE username='" .mysql_real_escape_string($user) . "'");
        echo '<div class="rounded-container">';
        echo '<div class="rounded-green rounded-done">';
        echo '<b>reload</b><br>';
        echo '</div>';
        echo '</div>';
    }
?>

我不知道放在哪里，应该在 POST 函数里吧？

Answer 1

将 $ts 和 $user 行替换为:

$ts=htmlspecialchars($_POST['ts']);
$user=htmlspecialchars($_POST['user']);

然后不理会查询，它将在 htmlspecialchars 剥离值上使用 mysql_real_escape_string()。