输入中BLock HTML和javascript标记

Question

如何在文本输入中阻止所有html和javascript标记？

我的代码是：

$pav = stripslashes($_POST['pavadinimas']); 
$pav2 = mysql_escape_string($pav); 

但它不会阻止HTML和JavaScript标签

Answer 1

删除这两个电话：stripslashes()什么也不做在这里好，并且数据被插入之前只mysql_real_escape_string()应使用进入一个mySQL查询。

请执行htmlspecialchars()（如果要保留HTML源代码，但要使标记可见）或strip_tags()（仅消除HTML）。

Answer 2

必须使用用htmlspecialchars（）或用strip_tags（）（用于删除，而不是转换）

$html = "<b>Test</b> <strong>Lol</strong>"; 

echo htmlspecialchars($html); 

DEMO