Koenig, только не всегда надо сразу htmlspecialchars все обрабатывать. Конкретно там ничего ничего не выводится, а значит и уязвимости нет.

я видел только кусочек, сто пудов текст был явно уязвим, написал htmlspecialchars() как стандартную, себе я отдельную написал valid()

Ну а вдруг он перед каждым выводом обрабатывал каждую переменную htmlspecialchars?

все это просто слова Гг

Koenig, я приду домой и покажу почти полный код. Потом будишь говорить.

firezone, Можно будет посмотреть, это что то вроде гостевой наверное

Koenig, коментарий к заметки

Открыть спойлер

Закрыть спойлер

[копировать] [скачать]

1. include ("blocks/db.php");
2.  
3. if (isset($_POST['author'])) { $author = $_POST['author']; }
4. if (isset($_POST['text'])) { $text = $_POST['text']; }
5. if (isset($_POST['pr'])) { $pr = $_POST['pr']; }
6. if (isset($_POST['sub_com'])) { $sub_com = $_POST['sub_com']; }
7. if (isset($_POST['id'])) { $id = $_POST['id']; }
8.  
9. if (isset($sub_com))
10. {
11. if (isset($author)) { trim($author); }
12. else { $author = ""; }
13. if (isset($text))   { trim($text);   }    
14. else { $text = ""; }
15. if (empty($author) or empty($text))
16. {
17. exit("<p>Вы ввели не всю информацию, вернитесь назад и повторите.<br><input name='back' type='button' value='&lt;&lt;Вернутся назад' onclick='javascript:self.back();'></p>");
18.  
19.         }
20. $author = stripslashes($author);
21. $text = stripslashes($text);
22. $author = htmlspecialchars($author);
23. $text = htmlspecialchars($text);
24. $result = mysql_query ("SELECT sum FROM comments_setting");
25. $myrow = mysql_fetch_array ($result);
26. if ($pr == $myrow["sum"])
27.     {
28.     $date = date("Y-m-d");
29.     $result2 = mysql_query ("INSERT INTO comments (post,author,date,text) VALUES ('$id','$author','$date','$text')");
30.  
31.  
32.     }
33.     else {
34.     exit("<p>Вы ввели сумму с картинки не правильно, вернитесь назад и повторите.<br><input name='back' type='button' value='&lt;&lt;Вернутся назад' onclick='javascript:self.back();'></p>");
35.  
36.     }
37. }

ну вот, а вы уже начинаете Просто я код по кускам проверяю, что бы точно знать в дальнейшем где ошибка

кто-нить знает как пользовать ImageTTFText? А то он координаты криво возвращает, координаты нижней правой точки некоторые символы (@, символы рамок и т.д.) возвращают неправильно. Есть способ получить нормальные координаты? :help: