Вопрос по безопасности передачи данных из формы.

Лучше используйте BB-коды, а полученный текст прогоняйте через strip_tags + htmlspecialchars.

Собственно, strip_tags - первое что сделал. +addslashes. с BB-кодами не разбирался, как их подключить.

htmlspec - именно счас разбираюсь.

А можно привести примеры опасных запросов, которые могут повредить сайт или базу? Можно в личку, хочется проверить защиту)))

Пожалуйста забудьте о mysql_(real)_escape_string.

Для защиты от sql-inj в цивилизованном мире используют prepared statements(http://www.php.net/manual/ru/pdo.prepared-statements.php).

Для защиты от xss будет достаточно htmlentities и парсера bb-кодов.

почему бы пользователю не дать фикс. набор полей, без ХТМЛ, и уже самостоятельно собрать ХТМЛку с тегами?

<?php $f_dopusl = addslashes(strip_tags(trim($_POST['firm_dopusl']), '<p><br><h1><h2><h2><h3><h4><ul><ol><li>'));?>

trim - оставляйте в любом случае

Далее если вы с поля ожидаете цифру - то все кроме цифр к примеру = нахер

Не стоит угадывать, что может добавить случайно пользователь.

Чем экранирование в prepared statements отличается от экранирования в escape_string?

Какая цифра, если тс даже теги оставил которые не нужно вырезать?

А что делать если функционал предусматривает не только общение через азбуку морзе посредством цифр и пробелов?

видимо переработал)

По итогу трехдневных мучений остался примерно там же где начинал.

Выводы (может будет кому-нибудь полезно)

- встроенные в Wordpress функции update и insert уже сами неплохо экранируют, если не нужен большой функционал - применение их вместе с strip_tag вполне достаточно.

- создать свою форму с использованием вышеуказанных и нормальным функционалом для пользователя невозможно. Максимум можно разрешить теги. Эти функции намертво экранируют кавычки, поэтому добавить произвольный стиль не получается.

как бороться не знаю...

Какие эти функции экранируют? Экранирование должно произойти перед вставкой в бд.

update() например экранирует все виды кавычек, например. Именно при записи в базу