Ovrscout
prepared statement, bind - Vim, nepouzivam, rady necham odbonikum.
Kazdopadne dik za vysvetleni. Kdyz jsem pacil s Kita, proc neni potreba escapovani, tak mi to nedokazal vysvetlit. Ze si to uklada data zvlast a posila pak sql enginu, at si s tim dela, co chce. Ten pak nemusi dekodovat escapovani, zbytecne. Nj, logicke :)
"jine escapovani (html atp) pro vkladani pres SQL text"
Jo, to jsem se pokousel rici. Hlavni riziko je, ze to pridava znaky navic. Pokud mas omezeni policka 100 znaku v html, 100 znaku v sql, tak po escapovani na html tam pribyde treba 30 znaku (100+30) a do db se ulozi jen 100. Takze prijdes o cast textu. Viz to > <, pak se treba pro javascript musi escapovat taky uvozovky "e; (nevim, zda to htmlentities dela nebo se to musi extra nekde povolit)
funkce("retezec");
funkce('retezec');
funkce('re\'te\"zec');
<span onlick ="funkce("e;retezec"e;);">
<span onlick ="funkce('retezec');">
<span onlick ="funkce('re\'te"e;zec');">