Насколько безопасно функция htmlspecialchars() ??

[brasco2k]

Собсно сабж ^^^

[EST a1ien]

Ну от Xss по мйму полностью защищает.

[echobyte]

с какой стороны собсно опасность?

[noisia]

да она абсолютно безопасна, если считаете что я не прав, докажите обратное :/

[brasco2k]

Я имел ввиду защиту от xss.... Можно ли эту функцию обойти во время атаки...

[noisia]

если правильно все написано, не обойдешь.

[unixfan]

имха - если что-то типа:
$var = htmlspecialchars( $var );
то ХСС здесь (переменной $var) не светит.

[Nightmarе]

А от SQl защищает?

[bons]

если в запрос типа такого "... where id = $id ..." то от инъекции не защитит
в цифровых параметрах лучше использовать приведение к типу или is_numeric()

[iddqd]

А от SQl защищает?
Нет, для sql используют mysql_real_escape_string

[hOd]

$var = htmlspecialchars($var, ENT_QUOTES, 'UTF-8');

и тебе не страшны никакие xss-ки. ее можно обойти, если поиграться кодировками, если же прописана определенная кодировка, то все будет норм