笨 - 用htmlspecialchars（）上輸入不工作

Question

我使用htmlspecialchars()上input領域user last name防止xss，但它不工作.. 比方說$user_data->user_last_name;是我user last name，所以我所做的：

htmlspecialchars($user_data->user_last_name, ENT_QUOTES, 'UTF-8'); 

當我嘗試將用戶姓氏保存爲'Lastname<script>alert("xss")</script>'時，我得到JS alert和'xss'消息。

任何線索也許？

Answer 1

試試這個，可能工作：

$string = htmlentities($user_data->user_last_name, ENT_QUOTES, 'ISO-8859-15'); 

在檢索您應該使用輸入：

$value = $this->input->post('input_name', true); 

這裏，true將清理的xss的輸入值。