en las clases el profesor que cuando recibíamos datos desde un formulario debíamos poner FILTER_SANITIZE_STRING, pero viendo códigos de otras personas realmente nunca veo que se utilice de esta forma, la mayoría de veces (si utilizan algo de seguridad) usan htmlspecialchars. Para mas información, utilizo msqli (prepared statement)
Recomendáis utilizar las dos formas? con una suficiente? He estado buscando algunos comentarios pero tampoco hay demasiado, y no me lo dejan muy claro.. Saludos
$sql = "INSERT INTO usuario (nia, password,nombre,apellidos,email,telefono,especialidad_estudio)
VALUES (?,?,?,?,?,?,?)";
$stmt= $this->conn->prepare($sql);
//SANITIZE
$this->nia=htmlspecialchars(strip_tags($nia));
$this->password=htmlspecialchars(strip_tags($password));
$this->nombre=htmlspecialchars(strip_tags($nombre));
$this->apellidos=htmlspecialchars(strip_tags($apellidos));
$this->email=htmlspecialchars(strip_tags($email));
$this->telefono=htmlspecialchars(strip_tags($telefono));
$this->especialidad=htmlspecialchars(strip_tags($especialidad));
$password_hash = password_hash($this->password, PASSWORD_BCRYPT);
//BIND PARAM
$stmt->bind_param('issssis',$this->nia,$password_hash ,$this->nombre,$this->apellidos,$this->email,$this->telefono,$this->especialidad);
$stmt->execute();
$stmt->close();
$this->conn->close();