PDO挿入前に特殊文字をデコードしますか？

Question

ユーザーが既にフォームに入力したものを出力するためにhtmlspecialcharsを使用している場合は、htmlspecialchars_decodeの値がPDOステートメントにバインドされる前に意味がありますか？例えば

は、のは、私はこのようなフォーム要素を持っているとしましょう：

<input type="text" name="first_name" value="<?php echo trim(htmlspecialchars('first_name', ENT_QUOTES)); ?>"> 

私は、PDOクエリで値をバインドする前に、次のコードを使用する必要があります。

$first_name = trim(htmlspecialchars_decode($_POST['first_name'])); 
$stm->bindParam(':first_name', $first_name); 

それともこれです過労？

Answer 1

まず、テキストボックスに入力したテキストを str_replace（ '@'、 ' - '、$ str）などの値に置き換えることができます。