Pdo::prepare

Тут у меня появился вопрос. А чё всё что пападает в prepare например как у меня ниже

PHP:

1. $result= $db->prepare($this->Update . $this->tableName . ' SET ' . $stringUp . $this->where);
2. $result->execute();

автоматически экранируется при добавлении в базу ?

 

Можешь привести пример в котором данные экранируются? Просто я не могу понять как мне правильно построить универсальный запрос который я бы вызывал методом например вот как у меня сейчас.

PHP:

1. //Функция добавления данных в таблицу БД
2.     public function Insert($arr) {
3.  
4.         $db = Db::getConnection();
5.         $stringIns = '';
6.  
7.         foreach ($arr as $key => $value) {
8.             $stringIns = $stringIns.', '.$key.'="'.$value.'"';
9.         };
10.         $stringIns = trim($stringIns, ', ');
11.  
12.         $result = $db->prepare($this->Insert . $this->tableName . ' SET ' . $stringIns);
13.         $result->execute();
14.  
15.     }

 

Да я вкурсе в ручную так всегда и делал. Но в моём случае я по циклу забиваю сам запрос автоматически исходя и

Да именно pdo там и есть

 

это библиотека, я использую DAO Оболочку запросов. Написал вон сам как выше показал, это не для, конечного пользователя а для разработчика. Если бы было для конечного пользователя ясен бы был пень что я сделал не что такое

PHP:

1.     $result = $db->prepare(INSERT INTO 'Tablename' SET Value=:Value);
2.      $result->bindParam(':Value', $_POST['Value']);
3.      $result->execute();
4.  
5.      // И если там не одно значение можно просто в execute передать массив.
6.     // Вот и всё...
7.     А я составляю оболочку запроса чтобы можно было сделать так ну у меня так собственно уже и можно
8.  
9.    $this->table('tablename')->Insert(['Где ключ массива имя столбца в таблице' => 'А значение ключа, подставляем переменную которую туда будем записывать полученной из пост']);
10.   //Как то так. Так вот я ума не приложил как prepare перебрать этот массив так чтобы составить такие вот

 

Затестил pdo->quote($value);

Всё клёво но есть одно но символы типа Знаков '>' руинят сам php код и тд
Затестил вот такой текст.

PHP:

1. %^^&!@$!R%$@#^*U&^(*&)!)@%$*#^%)#_@(_!&($&#$#^)$#)_%&?>BGF:N"GFN<:L<G<RGS>?<ZX<C?"PWFK

 

У меян проблема с экранированием спец символов... Я тут сунул с мана вот такую вот функцию, но она удаляет мне просто все теги....

PHP:

1. function strip_tags_content($text, $tags = '', $invert = FALSE) {
2.  
3.     preg_match_all('/<(.+?)[\s]*\/?[\s]*>/si', trim($tags), $tags);
4.     $tags = array_unique($tags[1]);
5.  
6.     if(is_array($tags) AND count($tags) > 0) {
7.         if($invert == FALSE) {
8.             return preg_replace('@<(?!(?:'. implode('|', $tags) .')\b)(\w+)\b.*?>.*?</\1>@si', '', $text);
9.         }
10.         else {
11.             return preg_replace('@<('. implode('|', $tags) .')\b.*?>.*?</\1>@si', '', $text);
12.         }
13.     }
14.     elseif($invert == FALSE) {
15.         return preg_replace('@<(\w+)\b.*?>.*?</\1>@si', '', $text);
16.     }
17.     return $text;

Мне нужно чтобы как ввели так и получили только чтобы это всё заэкранировалось и не ломало код.... Не могу понять какую функцию из обработки строк заюзать чтобы сделало что мне нужно...
--- Добавлено ---
решил проблему с тегами....

PHP:

1. $postName = html_entity_decode($_GET['rout']);
2. echo htmlentities($postName);
3. // но один хрен вот такая строка ломает мне все просто
4. //<div>Привет?">:""":":?>?#"%"@#:RT">>?">>:?>"?>"???"%#:%">%#"%,№"Э%№Ж%,Э%</div>
5. ....

 

PHP:

1. //<div>Привет?">:""":":?>?#"%"@#:RT">>?">>:?>"?>"???"%#:%">%#"%,№"Э%№Ж%,Э%</div>
2. // У меня это строка не экронируется обрывается на пол пути
3. // вот здесь
4. //<div>Привет?">:""":":?>? - и дальше пусто даже скрипт не идёт дальше вообще весь.

 

html_entity_decode — Преобразует все HTML-сущности в соответствующие символы

 

PHP:

1.  echo htmlentities($_GET['rout']);

Не фига
Вот строка в браузере...

PHP:

1. //http://sosed.ru/?rout=%3Cdiv%3E%D0%9F%D1%80%D0%B8%D0%B2%D0%B5%D1%82?%22%3E:%22%22%22:%22:?%3E?#"%"@#:RT">>?">>:?>"?>"???"%#:%">%#"%,№"Э%№Ж%,Э%</div>

 

А получаю я в итоге вот что

PHP:

1. //<div>Привет?">:""":":?>?

и мой скрипт нахрен дальше не идёт

А если их кто нибудь возьмёт и отправит специально и они поломают мне код... Гет я просто проверяю так.
Версия php 5.6 у меня....
--- Добавлено ---

как не сломалось, наоборот и всё равно продолжает ломаться, просто не идёт дальше скрипт, обрывается на символах...

 

PHP:

1. echo htmlentities($_GET['rout']);
2.         exit();

Это весь скрипт

 

А не вот короче, понял скрипт дальше идёт, но он просто тек строку не читает если есть спец символы....

 

Привет?">:""":":?>? да вот всё что он передал
--- Добавлено ---

Спасибо, а что за xss атаки ?
--- Добавлено ---

это всё сделал вотс

PHP:

1.  //Функция экранирующая данные при добавлении
2.     public function prepareDataBase ($arr) {
3.         $db = Db::getConnection();
4.  
5.         $stringIns = [];
6.  
7.         foreach ($arr as $key => $value) {
8.             $stringIns[] = sprintf('%s=%s', $key, $db->quote($value));
9.         };
10.  
11.         return $stringIns = implode(', ', $stringIns);
12.     }
13.  
14.     //Функция добавления данных в таблицу БД
15.     public function Insert($arr) {
16.  
17.         $db = Db::getConnection();
18.  
19.         $stringIns = $this->prepareDataBase($arr);
20.  
21.         $result = $db->query($this->Insert . $this->tableName . ' SET ' . $stringIns);
22.  
23.  
24.     }
25.  
26.  
27.     //Функция обновления данных в таблице БД
28.  
29.     public function Update($arr, $where = NULL) {
30.  
31.         $db = Db::getConnection();
32.  
33.         $stringUp = $this->prepareDataBase($arr);
34.  
35.  
36.         if ($where != Null) {
37.             $this->where = $this->whereIs($where);
38.  
39.         }
40.  
41.         $result = $db->query($this->Update . $this->tableName . ' SET ' . $stringUp . $this->where);
42.  
43.     }

--- Добавлено ---

Я хочу чтобы если что - то через редактор например добавляется. Чтобы проходило через скрипт на сквозь как вписали. Но при этом серверный скрипт ни как не затронуло и базу не потревожило.