Originariamente inviato da k.b
Per esempio, per rendere sicuri dei dati per una query non e' necessario usare htmlentities, per mandare roba in output al browser pero' si. Se per inserire un commento ti limiti a dare un mysql_real_escape_string(), dovrai filtrarlo anche in output.
Io ad esempio per inserire un commento usavo un:
htmlentities(strip_tags($t),ENT_QUOTES);

e per poi visualizzarlo un:
nl2br(strip_tags(html_entity_decode($t)));

E' abbastanza efficace?
C'è qualche cosa di superfluo (tipo lo strip_tags ripetuto per sicurezza)?