Échapper efficacement des variables envoyées en POST

On doit parfois encore travailler sur des seveurs qui ont magic_quotes à On dans le php.ini, or cela a pour conséquence de doubler les antislashes si l’on fait appel à la fonction addslashes, comme c’est devenu une habitude par sécurité. Résultat : des antislashes dans la base de données, ce qui n’est pas le résultat voulu bien sûr ! Voici donc une fonction qui échappe les caractères spéciaux comme (et quand) il faut :

#####################################
# PARSER UNE VARIABLE DE FORMULAIRE #
#####################################
function ParseForm($input) {
        $input = trim($input);

        if (!get_magic_quotes_gpc()) {
           $input = mysql_real_escape_string($input);
        } else {
           $input = $input;
        }

        return $input;
}

L’avantage est que l’on peut la personnaliser pour faire subir à la chaîne de caractères d’autres traitements : ici on supprime les espaces superflus avec trim(), mais on peut aussi passer un coup de htmlentities() par exemple.