en "

Ik heb op mijn toekomstige site een forum. Helaas komt er als ik of " plaats dat er wel te staan maar er staat wel een / voor.

[COLOR= #0000BB]<?php[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [URL="http://www.php.net/nl2br"]nl2br[/URL][COLOR= #007700]([/COLOR]BBcodes[COLOR= #007700]([/COLOR]htmlentities[COLOR= #007700]([/COLOR][COLOR= #0000BB]$tFetch[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]bericht[/COLOR][COLOR= #007700]],[/COLOR] ENT_QUOTES[COLOR= #007700],[/COLOR] [COLOR= #DD0000]utf-8[/COLOR][COLOR= #007700],[/COLOR] false[COLOR= #007700])));[/COLOR]
?>

staat er in de functie BBcodes ergens htmlspecialchars of htmlentities?

Nee.

en bij de insert, geen mysql_real_escape_string dubbel gedaan, oid..

Staat de / er in de database ook bij?

Sjoerd schreef:

en bij de insert, geen mysql_real_escape_string dubbel gedaan, oid..

Volgens mij niet.

Luukvdo schreef:

Staat de / er in de database ook bij?

Ja

Meestal is het toch in plaats van / ?

Laat de query eens zien die het in de database zet

Nielsie schreef:

Meestal is het toch in plaats van / ?

Oja, nu ik er goed na kijk is dat inderdaad zo...

Luukvdo schreef:

Laat de query eens zien die het in de database zet

$Bericht = str_replace(  ,  , $_POST[bericht]);
mysql_query("INSERT INTO
                forum_reacties
                (topic, door, bericht, datum)
            VALUES(
                ".$tFetch[id].",
                ".$_SESSION[uId].",
                ".mysql_real_escape_string($Bericht).",
                NOW()
            )
");

Dan stripslashes gebruiken ?

jup, ik denk dat stripslashes($Bericht) bij het inserten werkt, moet wel voor de insert query stan ergens

Ik zou het bij het ophalen doen om sommige mysql errors te vermeiden?

regel 6 tot 8 kun je better buiten je query houden.
dit lijkt me better:

[COLOR= #0000BB]<?php
$Bericht[/COLOR] [COLOR= #007700]=[/COLOR] [URL="http://www.php.net/str_replace"]str_replace[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]bericht[/COLOR][COLOR= #007700]]);[/COLOR]
[COLOR= #0000BB]$Fetch[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #0000BB]$tFetch[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]id[/COLOR][COLOR= #007700]];[/COLOR]
[COLOR= #0000BB]$uId[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #0000BB]$_SESSION[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]uId[/COLOR][COLOR= #007700]];[/COLOR]
[COLOR= #0000BB]$upBericht[/COLOR] [COLOR= #007700]=[/COLOR] [URL="http://www.php.net/mysql_real_escape_string"]mysql_real_escape_string[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$Bericht[/COLOR][COLOR= #007700])[/COLOR]
[URL="http://www.php.net/mysql_query"]mysql_query[/URL][COLOR= #007700]([/COLOR][COLOR= #DD0000]"INSERT INTO
                forum_reacties
                (topic, door, bericht, datum)
            VALUES(
                "[/COLOR][COLOR= #007700].[/COLOR][COLOR= #0000BB]$Fetch[/COLOR][COLOR= #007700].[/COLOR][COLOR= #DD0000]",
                "[/COLOR][COLOR= #007700].[/COLOR][COLOR= #0000BB]$uId[/COLOR][COLOR= #007700].[/COLOR][COLOR= #DD0000]",
                "[/COLOR][COLOR= #007700].[/COLOR][COLOR= #0000BB]$upBericht[/COLOR][COLOR= #007700].[/COLOR][COLOR= #DD0000]",
                NOW()
            )
"[/COLOR][COLOR= #007700]);[/COLOR]  

?>

Nogmaals, mysql_real_escape_string($var) is voor INPUT. htmlentities($var, ENT_QUOTES) is voor output.