1:
2:
3:
4:
5:
6:
7:

//"entschärft" einen String zur Eingabe in die DB
function DefuseString($string) {
  $string = mysql_real_escape_string($string);
  $string = html_special_chars($string);
  ...
  return $string;
}                    

1:
2:
3:
4:
5:
6:
7:
8:
9:
10:
11:
12:
13:
14:
15:
16:
17:
18:

  if (!empty($_GET)) extract($_GET);
  if (!empty($_POST)) extract($_POST);

  function kill_tags_deep($value) {
    $value = is_array($value) ? array_map('kill_tags_deep', $value) : trim(strip_tags(stripslashes($value)));

    $bad = array ('@<script[^>]*?>.*?</script>@si', '@<[\/\!]*?[^<>]*?>@si', '@&(quot|#34);@i',
                       '@&(amp|#38);@i', '@&(lt|#60);@i', '@&(gt|#62);@i', '@&(nbsp|#160);@i', '@&(iexcl|#161);@i',
                       '@&(cent|#162);@i', '@&(pound|#163);@i', '@&(copy|#169);@i', '@&#(\d+);@e'); 

    $good = array ('', '', '"', '&', '<', '>', ' ', chr(161), chr(162), chr(169), 'chr(\1)');

    return preg_replace($bad, $good, $value);
    return $value;
  }

  $_POST = kill_tags_deep($_POST);
  $_GET = kill_tags_deep($_GET);                    

1:
2:

$str = (string) $str;
$str = htmlspecialchars(trim($str));                    

1:
2:
3:
4:
5:
6:
7:
8:
9:
10:
11:
12:

//'entschärft' einen String für das Eintragen in die DB
function DefuseString($string) {
  $string = mysql_real_escape_string($string);

  //setzt ein Backslash vor _ (underscore= und % (percent)
  $string = str_replace('_','/_',$string);
  $string = str_replace('%','/%',$string);

  $string = htmlspecialchars($string);
  
  return $string;
}                    

1:
2:
3:

//setzt ein Backslash vor _ (underscore= und % (percent)
$string = str_replace('_','/_',$string);
$string = str_replace('%','/%',$string);                    

1:
2:
3:

//setzt ein Backslash vor _ (underscore= und % (percent)
$string = str_replace('_','\_',$string);
$string = str_replace('%','\%',$string);                    

1:
2:
3:
4:
5:
6:
7:
8:
9:
10:
11:
12:
13:
14:
15:
16:
17:
18:
19:
20:
21:
22:
23:
24:
25:
26:
27:
28:
29:
30:
31:

/*
 * Bereitet einen String zum Eintragen in die DB vor
 * @param string $string Der String zum Escapen
 * @param bool $multibyte True wenn multibyte-Zeichen (Ӓ) auch akzeptiert werden sollen
 * @param bool $like Wenn True, werden auch _ und % escaped
 * @return string Der fertige String
 */
function escape_db_string($string, $like = False) {
  // Siehe Kommentar [1]
  if (get_magic_quotes_gpc()) {
    $string = stripslashes($string);
  }
  
  // Siehe Kommentar [2]
  $string = htmlspecialchars(trim(str_replace(array("\r\n", "\r"), array("\n", "\n"), $string)));
  
  // Siehe Kommentar [3]
  // Multibyte-Zeichen?
  if ($multibyte && strpos($result, '&#') !== False)
  {
    $string = preg_replace('#&(\#[0-9]+;)#', '&\1', $string);
  }
  
  // Siehe Kommentar [4]
  if ($like) {
    //setzt einen Backslash vor _ (underscore= und % (percent)
    $string = str_replace(array('_', '%'), array('\_', '\%'), $string);
  }

  return $string;
}