Защита от XSS - редакция на код

[cmsfan]

$pages .= '<a href="'.$PHP_SELF.'?start_from='.(($j - 1) * $number).'&ucat='.$ucat.
'&archive='.$url_archive.'&subaction='.$subaction.'&id='.$id.'&'.$user_query.'">'.$j.' </a> ';

XSS: index.php/"onmouseover=prompt(941213)>

Някой може ли да го приведе в нормален вид ?

 

[tedo96]

Ако ще се предават int данни просто го кастваш. (int)$var. Хубаво е да минаваш всичко с htmlspecialchars()

 

[cmsfan]

Не, точно това имах в предвид.
При добавянето на по-горния адрес в url таба, линка вместо да си излиза пълен, излиза това:

?start_from=6&ucat=&archive=&subaction=&id=&">2 ?start_from=12&ucat=&archive=&subaction=&id=&">3 ?start_from=18&ucat=&archive=&subaction=&id=&">4 ?start_from=24&ucat=&archive=&subaction=&id=&">5 ... ?start_from=126&ucat=&archive=&subaction=&id=&">22 ?start_from=132&ucat=&archive=&subaction=&id=&">23 ?start_from=138&ucat=&archive=&subaction=&id=&">24

Не излиза пълния линк и точно там е проблема, предишния проблем го оправих, имаше "<a href=/"xxx/" ...">
и вместо /" сложих ' и се оправиха линковете, сега остава и това да се преподреди.


///edit:
оправих се:

<a href="'.$PHP_SELF.'?start_from='.(($j - 1) * $number).'&ucat='.$ucat.
'&archive='.$url_archive.'&subaction='.$subaction.'&id='.$id.'&'.$user_query.'">'.$j.' </a> '