Método para filtrar parámetros

[Gambinoh]

Tengo un método que "filtra" los parámetros enviados con el método get.

Código PHP:

private $param;
 
protected function filtro($param) {
$this->param = $this->conexion->real_escape_string(strip_tags($param));
return $this->param;
}
 

¿El método/función strip_tags tiene equivalente en PHP OO?

Me gustaría saber si es posible mejorar este método añadiendo alguna funcionalidad.

Veo que XSS no sería evitado, así que buscando he encontrado este post de GatorV:

http://www.forosdelweb.com/3497564-post2.html

PD: Muchísimas gracias de antemano.

[masterpuppet]

Te sugiero que utilices PDO y sus Prepared statements y para filtrar html puedes utilizar HTMLPurifier.

Saludos.

[Gambinoh]

Iniciado por masterpuppet

Te sugiero que utilices PDO y sus Prepared statements y para filtrar html puedes utilizar HTMLPurifier.

Saludos.

Entiendo que PDO (no comprendo muy bien inglés) sería como un conjunto de métodos destinados a filtrar parámetros enviados a través de URL para que luego puedan ser usados sin peligro en consultas. ¿Estoy en lo cierto?

Estoy buscando un ejemplo básico de implementación comentado en castellano.

[NUCKLEAR]

Pero si esta bien expicado que es PDO. http://es2.php.net/manual/es/intro.pdo.php

La extensión PHP Data Objects (PDO) define un interfaz ligera, para tener acceso a bases de datos en PHP

A su vez posee metodos para sanitizar las consultas.

[Gambinoh]

Gracias NUCKLEAR, pensaba que no estaba en castellano.

De todas maneras me pregunto que si sólo es para evitar SQL injection y XSS... ¿no valdría con un método como el siguiente que filtrase los parámetros vía get?

Código PHP:

private $param;
 
protected function filtro($param) {
$this->param = $this->conexion->real_escape_string(htmlentities(strip_tags($param)));
return $this->param;
}
 

[abimaelrc]

Como te indicaron, es una sugerencia ya que es lo que se debería usar para conectar a una base de datos y todo lo que conlleva.

[Gambinoh]

Iniciado por abimaelrc

Como te indicaron, es una sugerencia ya que es lo que se debería usar para conectar a una base de datos y todo lo que conlleva.

Ok, muchas gracias, entendido.