質問: '$value' WHERE id='●●' AND pw='■■'", $link);
回答: > > 論外なんですか? > > > 正確に言うとSQLインジェクション対策としては論外です。 > > 書籍で紹介されていたので大丈夫かと考えておりました。 > > > 文脈が分かりかねますのでなんともいえません。 XSS対策としてならわからなくも無いので。 ただ、それにしてもDBに入れる前に行うのはやり方として間違っています。 > > これでも危険ですか? > > > htmlspecialchars はDBに入れる値には使わないでください。処理として適切ではないです。 htmlspecialchars を行うべきところは別のページ等でDBから値を取り出し、HTML に出力する直前です。 これは以下のページの説明が分かりやすいです。 「サニタイズ言うなキャンペーン」私の解釈