Tengo un formulario que luego es usado para generar páginas mediante un plantilla. Cuando el usuario rellena los datos, estos tienen que ir a la base de datos, y luego en la página, se cargan y se imprimen mediante un "echo".
Mi pregunta es, ¿Es suficiente con usar strip_tags()
antes de almacenar las variables? Les dejo una muestra para que me ayuden a mejorar la seguridad.
$name = strip_tags($_POST['name']);
$desc = strip_tags($_POST['desc']);
$date = strip_tags($_POST['date']);
$winners = strip_tags($_POST['winners']);
$img = strip_tags($_POST['img']);
$lang = strip_tags($_POST['lang']);
Luego, directamente almaceno las variables creadas en la base de datos.
Muchas gracias.
strip_tags
no es recomendable ni para proteger la información que vas a presentar en pantalla (leer esta respuesta) ni para prevenir la Inyección SQL. Para lo primero deberías usarhtmlspecialchars
y para lo segundo consultas preparadas.