將div innerText直接保存到數據庫

Question

我有一個帶有 contenteditable 的簡單 div，我想在沒有 HTML 的情況下存儲它的值，但保留換行符，所以我使用了innerText 。

問題：直接將其保存在數據庫中是否可以，還是應該在存儲之前對其進行“ urlencoded ”或其他操作？

現在我按原樣保存，在檢索它時通過htmlspecialchars和Purify運行內容，以防萬一。 這很好還是有更安全/更高效的方法來做到這一點？

Answer 1

是的，這很好。 數據應按用戶輸入的那樣存儲在數據庫中。 插入數據庫時，出於安全原因無需修改數據。

插入數據庫時，您需要記住永遠不要將任何變量直接輸入到 SQL 中。您必須始終使用參數化准備語句。 例如，它們由PDO提供。

輸出數據時，您需要針對呈現數據的媒體對其進行編碼。 如果您在 HTML 中顯示數據，則需要使用htmlspecialchars()進行編碼。 如果將數據放在 URL 中，則需要使用rawurlencode()進行編碼。