Algo parecido a mysql_real_escape_string() ?

[Mixvice]

Que tal?, estoy en un proyecto pequeño de un gestor de contenidos o bien sistema de noticias simple pero quiero agregar algún filtro como mysql_real_escape_string() pero me surge un problema...

El sistema usa un editor de textos por lo tanto se agrega y visualiza html, pero cuando agregan la noticia a la db se agrega "\" y no se muestra la imagen o el formato en la pagina donde se extraen las noticias... Hay alguna forma de arreglar esto?

Gracias

Edito: Me puse a investigar un poco mas las funciones y vi que hay una forma para decodificar htmlspecialchars(). Les dejo un ejemplo de mi código php:

Código PHP:

  $contenido = htmlspecialchars($_POST['contenido']);  
   

Y cuando muestro el contenido hago esto:

Código PHP:

  <?php echo htmlspecialchars_decode($ar['contenido']) ;?>   

Esta bien si lo hago así? Lo unico que quiero es evitar una Sql Injection o algo relacionado con un "hackeo" a la db...

[Triby]

Para evitar SQL injection necesariamente debes usar mysql_real_escape_string(), el problema que tienes tal vez se deba a las comillas magicas y, si estan activas, tal vez solo necesitas stripslashes() para que tu codigo se vea como esperas.

[Mixvice]

Hola, gracias por contestar, pero por ejemplo joomla como hace para aceptar contenido html en su editor y mostrarlo en la pagina como html? O es vulnerable a sql injection ??

[Triby]

La mayoria de CMS usan una funcion adecuada para escapar los datos y poder insertarlos en las tablas, algunos con mysql_real_escape_string y otros preparando las consultas con PDO; eso es suficiente para evitar inyecciones SQL, pero tambien tienen funciones de validacion para ver que el HTML sea valido y evitar inyecciones XSS y te sugiero esta busqueda.

[Mixvice]

Muchas gracias por la ayuda Triby :) Revisaré lo que me mostraste, un saludo