2013-03-20T09:17:28 GwenDragon

2013-03-20T09:04:15 Muffi

Da gibts eigentlich eine ganz simple Regel, die immer funktioniert:
Alles.

Alles escapen?

klar.
das feld klingt ja nach einem textfeld mit beliebigem inhalt. "beschreibung". da will ich nicht schon beim auslesen des wertes bestimmen, was evtl. bei der verarbeitung störend sein könnte. ich lasse erstmal alles zu.

erst wenn ich es weiterverarbeite, filtere ich.
bei SQL verwende ich platzhalter, bei HTML escape ich einfach alles.
und zwar mit: HTML::Template(::Compiled) und der option default_escape, mit Template::AutoFilter oder mit Text::Xslate