Witajcie,

raczkuję w tematyce bezpieczeństwa stron internetowych. Mam na stronie formularz który dodaje dane do bazy mysql (zabezpieczony przed sql injection). Jednak gdy później na stronie odczytuje dane z formularza, to wykonują mi się zarówno skrypty js jak i php dodane w formularzu np. gdy ktoś poda w formularzu tytuł jako "<script>alert('hacked');</script>" albo "<?php echo 'hacked ?>", to te skrypty się wykonują.

W jaki sposób się przed tym zabezpieczyć przy pomocy php?

to kiepsko z tymi zabezpieczeniami, przed zapisaniem danych w db skorzystaj np z striptags albo htmlspecialchars.

@up

htmlspecialchars używa się do wyświetlania danych, po co zapychać bazę dodatkową ilością znaków ?
w sumie to ta funkacja w zupełności wystarczy. Pamiętaj, ze już w samej walidacji formularza powinieneś sprawdzać dozwolone znaki dla każdego pola.