Форум PHP

Есть форум. на форуме есть профиль пользователей. В профиле есть поля Откуда, подпись, интересы, род занятий. Как и на что лучше их проверять перед добавлением в базу? Потом естественно эти поля надо отображать без вреда для конечного пользователя.

перед добавлением в базу убрать пробелы, вырезать теги, проверить нет ли < и >
и прочих ненужных символов..
короче выполнить примерно такую чистку ))

$text=htmlspecialchars(stripslashes(trim(mysql_escape_string($text))));

>$text=htmlspecialchars(stripslashes(trim(mysql_escape_string($text))));

не надо нести бред.

Перед добавлением их не надо проверять ни на что. Надо их лишь корректно в базу поместить, т.е. соблюсти синтаксис языка SQL.
А вот после вытаскивания из базы, перед отображением в браузере, следует корректно преобразовывать символы в сущности html (с помощью htmlspecialchars)

ну а если пользователи начнут всякую фигню там писать? что тогда?

То в базе начнет храниться всякая фигня.
БАза умеет хранить всякую фигню. Ей, откровенно говоря, вообще безразлично, что хранить.
Она, к примеру, даже фотографии и прочие двоичного рода файлы хранить может, и ничего, не ломается.

по моему разумнее сразу заносить в базу чистый результат а потом брать его и выдовать пользователю, чем потом вычищать ее перед выводом!

http://www.softtime.ru/info/task.php?id_article=81

Trianon прав. Желательно по минимому изменять информацию, на случай если ее нужно будет править.

>....Желательно по минимому изменять информацию, на случай если ее нужно будет править.

....или даже просто искать.
Попытка провести в базе поиск чего-то вроде

M&M's

будет обречена на провал.
И вы никогда не объясните пользователю, что ему следует искать

M&M\'s

лан сдаюсь ))

Trianon
как грамотно вписать всё в базу?

Вот тебе фигня пользователя:
' AND 'password'='hello' WHERE 'id'=14;""#$%^&*()! Маме привет
Как правильно вписать это в базу по твоему?

очень просто:
$param = "'".mysql_real_escape_string($value). "'";
$sql = "INSERT into tab (str) VALUES ($param)";

а на выводе?
порсто htmlspecialchars ?
Хватит по твоему?

Если просто в html - хватит.
Если внутрь строки JS-фрагмента html, то там совсем другой коленкор. Там прямых стандартных функций вообще не хватит. Придется писать свою.

Что значит ява скрипт?
Пользователь написал: <script>alert("hello mama");</script>
Мне надо чтоб на выходе это и был результат. без исполнения конечно. Просто надпись
" <script>alert("hello mama");</script> "

Так и выйдет. Если без исполнения, то никакой это не скрипт, а обычный html.
Просто иногда из PHP данные надо передать в JS для последующей обработки. Вот тогда придется повозиться.