nicht angemeldet
Moin
Ich würde lieber vor dem eintrag prüfen ob was derartiges eingegeben wurde, denn sonst wird auch '&'... alles umgewandelt.
Ich kann ja denb String auf
'<script>', '<meta', überprüfen, was brauche ich da noch alles?
Nein, das ist eine ganz blöde Idee [tm]. Egal was für einen ausgefeilten Algorithmus du dir ausdenkst, man kann ihn umgehen. strip_tags() ist imho nicht viel besser. Dein einzig wahrer Freund auf weiter Flur ist htmlentities(). Damit solltest du grundsätzlich jeden Text behandeln der vom User kommt. Nicht nur dass dir dann nichts böses mehr passieren kann, die Texte werden nebenbei noch portabler.
--
Henryk Plötz
Grüße aus Berlin