<?PHP echo htmlentities($result['description']); ?>

<SCRIPT language="Javascript">

<!--
alert("Voici un message d\'alerte!");

// -->

</SCRIPT>

bon alors comme mon champ description est lié a un editeur wyswyg (tinymce) si je met un htmlentities() j'ai tout le code qui apparait.

bon alors comme mon champ description est lié a un editeur wyswyg (tinymce) si je met un htmlentities() j'ai tout le code qui apparait.
si je comprend bien il n'y a donc pas moyen de protéger le champ description afin d'evité que certaine personnes ajoute des script ou autre qui poluraient mon site.

Je te dirai d'ajouter strip_tags

Ben non car comment ferait-on pour afficher des extraits de code comme par exemple dans ce forum ?

C'est l'affichage que l'on protège avec htmlentities ou htmlspecialchars (et éventuellement strip_tags dans des circonstances particulières), mais la bdd doit être en mesure d'enregistrer tous les caractères.

Dans le cas présent, je doute qu'il s'agisse d'un forum où l'on soumette du code. Il suffit de voir le nom des champs utilisés. "Titre" et "Description", peut importe ce que cela décrit, mais je ne penses pas qu'on souhaite se retrouver avec des tags HTML polluant le titre et la description (corriges moi fabrice si jamais). A moins bien sur qu'il utilise un éditeur en JS du genre CKEditor ou TinyMCE.

En plus d'une sécurité c'est un bon nettoyage. Rien n'empêche d'ajouter html_entities après le strip_tags pour obtenir un affichage correct du contenu de ces champs dans une page avec un bon encodage des caractères spéciaux et que le W3C soit fier de vous.

Et en général, il est préférable d'éviter de faire un htmlentities pour le stockage si on ne veut pas de code HTML, car cela est assez embêtant lorsque l'on fait une sortie des données vers un fichier CSV par exemple. On est obligé de se farcir un script maison au lieu d'utiliser un simple client MySQL ou PostgreSQL. Son utilisation lors de la génération de la page HTML suffit.

OK MERCI.

Maintenant striptags() ou htmlentities().
si j'utilise un editeur wyswyg comme tinymce celà ne risque t'il pas de poser probleme ?
si sur mon champ

<textarea name="description" rows="10" id="description"></textarea>

j'utilise tinymce est ce qu'a l'affichage je ne risque pas d'avoir par exemple le code qui s'affiche au lieu de la mise en page qui aura été faite avec tinymce ?

Je te dirai d'ajouter strip_tags

Ben non car comment ferait-on pour afficher des extraits de code comme par exemple dans ce forum ?

C'est l'affichage que l'on protège avec htmlentities ou htmlspecialchars (et éventuellement strip_tags dans des circonstances particulières), mais la bdd doit être en mesure d'enregistrer tous les caractères.

Je te dirai d'ajouter strip_tags

<textarea name="description" rows="10" id="description"></textarea>

  <?PHP
        include("../connexion-sql.php");
        $titre =mysql_real_escape_string(strip_tags( $_POST['titre']));
        $description = mysql_real_escape_string(strip_tags($_POST['description']));
           
        $sql = "INSERT INTO IWantenne(id, titre, description) VALUES('','$titre','$description'')"; mysql_query($sql) or die('Erreur SQL !'.$sql.' '.mysql_error());
        //si les données son biens enregistrées dans la base :
        echo 'L\'info a bien été enregistrée.';
        mysql_close();
        ?> 

        <?PHP
        include("../connexion-sql.php");

        $titre = $_POST['titre'];
        $description = $_POST['description'];
mysql_real_escape_string($titre ));
mysql_real_escape_string($description ));
           
 

 $titre = mysql_real_escape_string($_POST['titre']);

<form action="validation-reponse.php" method="post">
<input name="titre" type="text" id="titre" />
<textarea name="description" rows="10" id="description"></textarea>
<input name="submit" type="submit" value="Valider" />
</form>

        <?PHP
        include("../connexion-sql.php");
        $titre = $_POST['titre'];
        $description = $_POST['description'];
            
        $sql = "INSERT INTO IWantenne(id, titre, description) VALUES('','$titre','$description'')"; mysql_query($sql) or die('Erreur SQL !'.$sql.' '.mysql_error()); 
        //si les données son biens enregistrées dans la base :
        echo 'L\'info a bien été enregistrée.'; 
        mysql_close(); 
        ?> 

        <?PHP
        include("../connexion-sql.php");

        $titre = $_POST['titre'];
        $description = $_POST['description'];
mysql_real_escape_string($titre ));
mysql_real_escape_string($description ));
           
        $sql = "INSERT INTO IWantenne(id, titre, description) VALUES('','$titre','$description'')"; mysql_query($sql) or die('Erreur SQL !'.$sql.' '.mysql_error()); 
        //si les données son biens enregistrées dans la base :
        echo 'L\'info a bien été enregistrée.'; 
        mysql_close(); 
        ?>