@@Sturmverliebt:

nuqneH

Was kann mir denn im schlimmsten Fall passieren wenn ich die „htmlspecialchars“ nicht nutze. Ich meine ich prüfe beim Eintragen der Daten bereits darauf dass nichts böses rein kommt, warum muss ich also bei der Ausgabe nochmals prüfen?

Wenn du beim Reinschreiben in die Datenbank berücksichtigst, dass du die Daten irgendwann mal nach dem Auslesen in HTML packst, machst du einen grundlegenden Denkfehler.

Die kontextgerechte Behandlung von Daten muss genau dann stattfinden, wenn man die Daten in den jeweiligen Kontext bringt, nicht Ewigkeiten vorher.

Für '<' soll '<' in der Datenbank stehen, nicht '&lt;'.

Beim Reinschreiben in die Datenbank sorgst du dafür, dass keine SQL-Injections reinkommen.

Nach dem Auslesen, wenn die Daten ins HTML geschrieben werden, sorgst du dafür, dass kein XSS möglich ist.

Qapla'