Защита на форма за добавяне

[Teodotko]

<meta http-equiv="Content-Type" content="text/html; charset=windows-1251"/>
<?PHP
include('conf.php');?>
<form method="POST">
Charter Name: <input type="text" name="user"><br>
WTS , WTT or WTB: <input type="text" name="izp"><br>
Item name or other text: <input type="text" name="pesen"><br>
<input type="submit" name="button" value="Добави">
<?php
if($_POST['button']){
$ot=$_POST['user'];
$izp=$_POST['izp'];
$pesen=$_POST['pesen'];
$query = mysql_query("INSERT INTO `pozdravi` (ot, id, izp, pesen) VALUES('$ot','NULL','$izp','$pesen')");
echo "Успешно добавен поздрав<br><a href=\"index.php\">Върни се в началната страница</a>";}?>

Това е формата за добавяне . Как да направя да не могат да се добавят html/php кодове ?

 

[nom3r1]

<?php
header("Content-Type: text/html; charset=windows-1251");
include('conf.php');
function filter($string) {
		$string = htmlspecialchars($string);
		$string = addslashes($string);
	return $string;
}
$_GET     = array_map("filter", $_GET);
$_POST    = array_map("filter", $_POST);
if(isSet($_POST['button'])) {
	$ot  = $_POST['user'];
	$izp = $_POST['izp'];
	$pesen = $_POST['pesen'];
	$query = mysql_query("INSERT INTO `pozdravi` (ot, id, izp, pesen) VALUES('$ot','NULL','$izp','$pesen')")or die(mysql_error());
	echo "Успешно добавен поздрав<br><a href=\"index.php\">Върни се в началната страница</a>";
} else {
	echo "
	<form method=\"POST\">
	Charter Name: <input type=\"text\" name=\"user\"><br>
	WTS , WTT or WTB: <input type=\"text\" name=\"izp\"><br>
	Item name or other text: <input type=\"text\" name=\"pesen\"><br>
	<input type=\"submit\" name=\"button\" value=\"Добави\">";
}
?>

 

[exec]

$ot = strip_tags($_POST['user']);
$izp = strip_tags($_POST['izp']);
$pesen = strip_tags($_POST['pesen']);

http://bg.php.net/strip_tags