جلوگیری از SQL Injection؟

[فاروق]

بنده یک برنامه دارم که دو ورودی از کاربر دریافت میکنه، یکی ID کاربر که خب مشخصه، یک regex میزنیم و تمام. اما برای ورودی دوم که از کاربر یک پیغام میخواد، و پیغام هر چیزی میتونه باشه، چطور باید از SQL Injection جلوگیری کنم؟

[nixoeen]

برای هر دو ورودی از Prepared Statements استفاده کنید. همچنین اگر می‌خواید اون‌ها رو مستقیما توی وب نشون بدید، برای جلوگیری از XSS از چیزی مثل htmlspecialchars توی PHP استفاده کنید.

[فاروق]

برای هر دو ورودی از Prepared Statements استفاده کنید. همچنین اگر می‌خواید اون‌ها رو مستقیما توی وب نشون بدید، برای جلوگیری از XSS از چیزی مثل htmlspecialchars توی PHP استفاده کنید.

البته یک بچه‌بازی(!) با پایتون هست.

[فاروق]

برای هر دو ورودی از Prepared Statements استفاده کنید. همچنین اگر می‌خواید اون‌ها رو مستقیما توی وب نشون بدید، برای جلوگیری از XSS از چیزی مثل htmlspecialchars توی PHP استفاده کنید.

در مورد «جملات آماده شده»، الان کد رو چک کردم و از همونا استفاده کردم.
منظورتون رو از «اون‌ها» در جمله دوم متوجه نمیشم.
ویرایش:
خودم فهمیدم.
ویرایش دوم:
برای XSS از bleach استفاده کردم.