PHP更新富文本内容注意事项

PHP更新富文本需用预处理语句防SQL注入，入库前必须用HTMLPurifier等工具净化XSS风险内容，字段类型宜选TEXT/MEDIUMTEXT，输出时依场景决定是否二次转义。

PHP 更新富文本内容时，UPDATE 语句本身没特殊要求，但 HTML 内容必须安全转义

直接拼接 HTML 字符串进 SQL 是高危操作，极易触发 SQL 注入。PHP 中不能靠手动 addslashes() 或字符串替换来“修”HTML，而应使用参数化查询。哪怕 HTML 看起来只是普通文本，只要含单引号、反斜杠、'、"、\0 等字符，未经处理就进 INSERT/UPDATE 就可能报错或被利用。

实操建议：

• 始终用 PDO 或 MySQLi 的预处理语句，HTML 字段作为 ? 占位符传入
• 避免用 mysql_real_escape_string()（已废弃）或 mysqli_real_escape_string() 手动转义——它不解决所有边界情况，且易遗漏编码问题
• 如果 HTML 来自前端 contenteditable 或富文本编辑器（如 TinyMCE、Quill），注意它可能自带