שאלה לגבי htmlspecialchars

[potterfan]

אני משתמש בפונקציה htmlspecialchars ב-PHP על תוכן שמשתמשים מעלים לאתר כדי לחסום פירצות xss.
השאלה שלי היא האם הפונקציה htmlspecialchars חוסמת את כל פירצות ה-xss גם כאשר הפרמטר השני שהיא מקבלת מוגדר כ-"ENT_NOQUOTES"?
(פרמטר זה קובע שהפונקציה לא תצפין גרשיים ומרכאות)

[tomer.d]

זה עדיין ימיר את כל תגי ה HTML אבל אם אתה תשתמש באופציה של ENT_NOQUOTES אתה תהיה חשוף ל SQL INJECTIONS

[Ender]

שים לב שזה לא יגן מפני מצבים בהם אתה משלב את הקלט בתוך תגי HTML, או בתוך סקריפט.

למשל:

<img src='/images/<?php echo htmlspecialchars($_GET['img']); ?>.jpg' />

או:

<script>
var user = '<?php echo htmlspecialchars($_GET['user']); ?>';
</script>