Ao invés de evitar o <
e >
você poderia converte-los na hora da leitura (lembre-se no INSERT é melhor manter o original como foi escrito), então no momento que usar SELECT o <
e >
serão convertidos para <
e >
, assim evitando injetar HTML na página, mas podendo manter o texto o mais próximo do que o autor escreveu.
Outra coisa você deve prevenir não só a "injeção" de HTML, mas também a "injeção" de mysql (ou falhas de sintaxe), use mysql_real_escape
$autor_id = mysql_real_escape($_POST["autor_id"]);
$texto = mysql_real_escape($_POST["texto"]);
$query = "INSERT INTO `videos` ( `autor_id` , `texto`, `id` ) VALUES ('$autor_id', '$texto', '')";
mysql_query($query,$conexao);
Na leitura use htmlspecialchars
, exemplo:
$query = 'SELECT autor_id, id, texto FROM `videos` LIMIT 30';
$consulta = mysql_query($query, $conexao);
while ($linha = mysql_fetch_assoc($consulta)) {
echo 'texto: ', htmlspecialchars($linha['texto']), '<br>';
}
Api antiga do Mysql para PHP vs PDO e Mysqli
Como já foi dito algumas vezes no SOpt:
A API do php mysql_
será descontinuada (Não quer dizer que o mysql será descontinuado, apenas a API do PHP) pois ela foi substituída pelo mysqli_*
, então é altamente recomendável que atualize seus códigos para usar ou mysqli
ou pdo
Vantagens do mysqli
- Interface de orientação há objetos (Object-oriented interface)
- Suporte para Prepared Statements
- Suporte para múltiplos Statements
- Suporte para transações (Transactions)
- Melhoria no capacidade de depuração
- Suporte para servidor embarcado
Vantagens do PDO
Como foi dito pelo @Kazzkiq:
Vantagens:
- Funciona com 12 drivers de bancos de dados diferentes (4D, MS SQL Server, Firebird/Interbase, MySQL, Oracle, ODBC/DB2, PostgreSQL, SQLite, Informix, IBM, CUBRID);
- API Orientada a objetos;
- Possui parâmetros nomeados;
- Possui prepared statements do lado cliente (ver desvantagens abaixo)
Desvantagens:
- Não tão veloz quanto
MySQLi
;
- Por padrão, ele simula prepared statements (você pode ativar a versão nativa ao configurar a conexão dele com o banco, mas caso a versão nativa não funcione por algum motivo, ele volta a simular os prepared statements sem disparar erros ou avisos. Mais detalhes aqui)
Por que atualizar seus códigos
Como eu disse nesta resposta, é preciso notar que as funções mysql_
não recebem mais atualizações, como correções e melhorias e este é o ponto vital para você não usar mais o mysql_
, pois no futuro breve ele deixará de existir para as novas versões do PHP.
Em outras palavras, se você continuar a funções mysql_
(sem o i
), duas situações podem acontecer com seus projetos:
- Podem haver falhas na segurança da API
mysql_
ou bugs.
- Quando a API
mysql_
for desativada, os seus scripts irão parar de funcionar, o que irá lhe causar muita dor de cabeça, pois você terá que refazer vários códigos.
Como usar mysqli com o seu código
A inserção pode ser assim:
$autor_id = mysqli_real_escape_string($_POST["autor_id"]);
$texto = mysqli_real_escape_string($_POST["texto"]);
$query = "INSERT INTO `videos` ( `autor_id` , `texto`, `id` ) VALUES ('$autor_id', '$texto', '')";
mysqli_query($query,$conexao);
Na leitura use htmlspecialchars
, exemplo:
$query = 'SELECT autor_id, id, texto FROM `videos` LIMIT 30';
$consulta = mysqli_query($query, $conexao);
while ($linha = mysqli_fetch_assoc($consulta)) {
echo 'texto: ', htmlspecialchars($linha['texto']), '<br>';
}
No entanto você pode usar os prepared statements, assim não terá a necessidade de usar mysqli_real_escape_string
, exemplo de inserção de dados:
<?php
$mysqli = new mysqli("localhost", "my_user", "my_password", "world");
if (mysqli_connect_errno()) {
printf("Connect failed: %s\n", mysqli_connect_error());
exit;
}
$autor_id = $_POST["autor_id"];
$texto = $_POST["texto"];
if ($stmt = $mysqli->prepare("INSERT INTO `videos` ( `autor_id` , `texto`, `id` ) VALUES (?, ?, '')")) {
$stmt->bind_param('i', $autor_id);
$stmt->bind_param('s', $texto);
$stmt->execute();
while ($linha = $result->fetch_assoc()) {
echo 'texto: ', htmlspecialchars($linha['texto']), '<br>';
}
$stmt->close();
}
$mysqli->close();
Documentação: