[PHP-JS] caractères html/php

Bonjour, enfaite j'ai un formulaire que nous appelerons form1 qui me permet d'envoyer des infos dans ma base de données.

J'aimerais enfaite que l'utilisateur entrant les données ne puisse pas inséré des caractères html ou php style toutes les balises, fonctions serveur php etc ...

Faut il mieux procédé par Javascript en interdisant la saisie dans le formulaire ou vaut il mieux les supprimés/remplacé lors de l'envoi du formulaire ?

J'ai entendu parler de .html.entities, pouvez vous m'en dire d'avantage,

Cordialement Sébastien !

Evidemment qu'il faut protéger par php, le javascript ne peut assurer absolument aucune protection que ce soit...
Pour protéger les scripts, il faut tout d'abord avoir des bonnes habitudes :
- Initialiser systématiquement toutes les variables utilisées dans le script (sans quoi si la directive register_globals est sur On, les failles de sécurités sont très fréquentes).
- Vérifier les données issues des formulaires, avec des is_int, is_numeric is_array, ...
- Lors de l'insertion de données dans une base de données, échapper systématiquement avec mysql_real_escape() (ou l'équivalent pour les autres SGBD), pour éviter les injections SQL.

Ensuite, les autres protections sont à prendre selon le cas, le html_entities est utile si les données sont destinées à être affichées, elles échappent les caractères HTML spéciaux. Il n'est absolument pas nécessaire d'empécher l'utilisateur de mettre des fonctions php dans les variables qu'il poste car pour que cela nuise, il faudrait faire un eval sur la variable, ce qui est rare dans les utilisations basiques de php...
Sinon, je ne vois pas d'autres mesures de protection des variables postées, il y en a déjà pas mal.

Citation:

---

Envoyé par Sékiltoyai

- Vérifier les données issues des formulaires, avec des is_int, is_numeric is_array, ...
- Lors de l'insertion de données dans une base de données, échapper systématiquement avec mysql_real_escape() (ou l'équivalent pour les autres SGBD), pour éviter les injections SQL.

---

Ouai mais t'es bien gentil, je fais comment pour utiliser les is_int, is_numeric is_array ...

Des bouts de codes seraient vraiment utiles,merci bien

php.net est ton ami ^^

quand tu as une fonction et que tu sais pas comment elle fonctionne tu fait php.net/lenomdetafonction et tu as la doc officielle :P