輸入中BLock HTML和javascript標記

Question

如何在文本輸入中阻止所有html和javascript標記？

我的代碼是：

$pav = stripslashes($_POST['pavadinimas']); 
$pav2 = mysql_escape_string($pav); 

但它不會阻止HTML和JavaScript標籤

Answer 1

刪除這兩個電話：stripslashes()什麼也不做在這裏好，並且數據被插入之前只mysql_real_escape_string()應使用進入一個mySQL查詢。

請執行htmlspecialchars()（如果要保留HTML源代碼，但要使標記可見）或strip_tags()（僅消除HTML）。

Answer 2

必須使用用htmlspecialchars（）或用strip_tags（）（用於刪除，而不是轉換）

$html = "<b>Test</b> <strong>Lol</strong>"; 

echo htmlspecialchars($html); 

DEMO