小编Ber*_*rnd的帖子

我的桌子

functions_groups
+---------------+----------+
| function_name | group_id |
+---------------+----------+
| function1     | 46       |
| function1     | 47       |
| function2     | 46       |
+---------------+----------+

groups
+----------+------------+
| group_id | group_name |
+----------+------------+
| 46       | Group46    |
| 47       | Group47    |
+----------+------------+

产量

+-----------+----------------------+
| Function  | Groups               |
+-----------+----------------------+
| function1 | Group46, Group47     |
| function2 | Group46              |
+-----------+----------------------+

直到我的查询(这给我空行/单元格)

SELECT
    fg.function_name,
    GROUP_CONCAT(DISTINCT g.group_name SEPARATOR ', ') AS group_names
FROM functions_groups fg
LEFT JOIN groups …

我想让我的网站安全抵御XSS攻击.

我有一个模块允许用户将文本(带有特殊字符)插入数据库.此文本显示在起始页面上.

现在我的问题:我应该htmlentities($_POST["userinput"], ENT_QUOTES, 'UTF-8')在将userinput插入数据库之前使用吗？

或者我可以将用户输入直接插入数据库并显示它htmlentities吗？