Достаточность проверки данных от пользователя?

[simpex]

Достаточность проверки данных от пользователя?

В своих веб приложениях я использую такую конструкцию

$_POST['field1']=htmlspecialchars(trim($_POST['field1']), ENT_QUOTES);

достаточно ли такой конструкции для обработки пользовательских данных перед вводом их в базу знаний?
если думать что весь html который пользователь вводить не важен и его стоит в одностороннем порядке приводить к безопастному виду?


тема не однократно поднималась
это понятно
очень много в инете видел решений с addslashes
и mysql special chars

но нужно ли их использовать, когда html не нужен? или лучше как я?
мой вариант поидее корректно обрабатывает хаки вида
<script language="javasсript">alert("xak");</script>



спасибо за конструктивные ответы

 

[Апокалипсис]

phpfaq.ru всё описано.

 

[simpex]

phpfaq рекомендует делать addslashes
при вставке не числовых данных

и htmlspecalshars при выводе

мой вопрос, можно ли юзать, с точки зрения безопастности, только htmlspecalshars на вводе данных в базу, если в данных надо заблокировать раз и навсегда все возможности html вставок всяких кавычек и явы в поля ввода.

 

[Апокалипсис]

юзать нужно так, как написано в phpfaq

 

[dimagolov]

simpex, для начало надо понять в чем угроза безопастности состоит и какие действия критичны с этой точки зрения. и уже после этого можно будет проводить НЕОБХОДИМОЕ и достаточное преобразование пользовательских данных.

 

[fixxxer]

>phpfaq рекомендует делать addslashes

где ты такой пхпфак нашел? поделись!