Użyj mysql_real_escape_string() podczas wstawiania ciągów do zapytań SQL, bez względu na to, skąd pochodzą dane wejściowe.
Użyj htmlspecialchars() lub htmlentities() podczas wstawiania ciągów znaków do kodu HTML, bez względu na to, skąd pochodzą dane wejściowe.
Użyj urlencode() podczas wstawiania wartości do ciągu zapytania adresu URL, bez względu na to, skąd pochodzą wartości.
Jeśli te dane pochodzą od użytkownika, zdecydowanie powinieneś zrobić te rzeczy, ponieważ istnieje szansa, że użytkownik próbuje robić złe rzeczy. Ale pomijając bezpieczeństwo — co zrobić, jeśli chcesz wstawić prawidłowy ciąg do zapytania SQL, a ciąg zawiera akurat pojedynczy znak cudzysłowu? Nadal musisz przed tym uciec.
