Kako spreciti SQL injection?

[Electro]

Citao sam da korisnicke unose ne treba prihvatati u izvornom obliku, ali ne znam sta i gde da upotrebim.

Prva mogucnost:

htmlspecialchars($_POST['username'], ENT_QUOTES);

gde je 'username' ime polja u formi.

Druga mogucnost:

$connection = mysqli_connect($GLOBALS['db_ip'], $GLOBALS['db_user'], $GLOBALS['db_pass'], $GLOBALS['db_name']);
$esc_name = mysqli_real_escape_string($connection, $username);

Da li se koristi jedno od ova dva ili nesto trece?
btw, uradio sam echo oba rezultata + originalnog polja. Cak i kada ne propustim tekst kroz ovo opet mi ispisuje escaped apostrof. A ostale znakove ne dira ni uz koriscenje tih funkcija (<, >, & ostaju isti). Kao da automatski vrsi konverziju?

[Geomaster]

Verovatno je uključen magic quotes. I kod mene je isto, i evo šta radim na početku:

PHP kod:

function stripslashes_deep($value)
{
    $value = is_array($value) ?
                array_map('stripslashes_deep', $value) :
                stripslashes($value);

    return $value;
}

$_POST = stripslashes_deep($_POST); 


Za MySQL, relevantno je escapeovati backslash, quote i double-quote. Sve to radi funkcija mysql_real_escape_string, i nju pozivaš ovako:

PHP kod:

mysql_connect('...') // moraš da imaš konekciju da bi izvršio real_escape_string, on radi sa trenutnim enkodingom
$_POST['nekopolje'] = mysql_real_escape_string($_POST['nekopolje']); 


Takođe, kad ispisuješ korisnikov unos, uvek prvo iskoristi funkciju htmlspecialchars(unos) pre nego što ga ispišeš. Time sprečavaš XSS.