Защита кода PHP без потери тегов HTML?

Question

Альтернатива htmlspecialchars без потери тегов HTML?

Например:

<?php
    $getNames = $odb -> query("SELECT * FROM `ad`");
    while($Names = $getNames -> fetch(PDO::FETCH_ASSOC)) {
        echo '<div class="card-box">'.$Names['ads'].'';
        echo '<center>'.$Names['endorse'].'</center></div>';
    }
?>

Но htmlspecialchars теги полоски так выводит следующее.

<p style="text-align: center;"><strong>testttttttttttttttttttttttttttttt</strong></p>

Как мне защитить свой php-код без потери тегов?

Answer 1

PHP имеет такие функции, как htmlspecialchars(), htmlentities() а также strip_tags() против атак межсайтового скриптинга (XSS). Выбор функции зависит от ситуации применения. Вы должны использовать тот или иной контент, представленный пользователем, для предотвращения атак XSS, то есть до вставки в базу данных.

Вы должны быть осторожны с атаками SQL-инъекций, которые отличаются от XSS. Использование подготовленных операторов - лучшее решение для атак с использованием SQL-инъекций.