Czy w trzeba sanityzować checkboxy?

Czy w trzeba sanityzować checkboxy? Czytam książkę o php i tam jest taki kod:

<?php
 if (isset($_POST['submit']))
   {
   echo "Lubisz następujące języki programowania:<br />";
   foreach($_POST['languages'] AS $language) {
 $language = htmlentities($language);
 echo "$language<br />";
   }
}
?>
<form action="<?php echo $_SERVER['PHP_SELF']; ?>" method="post">
 Jakie są Twoje ulubione języki programowania?<br /> (zaznacz wszystkie pasujące):<br />
 <input type="checkbox" name="languages[]" value="csharp" />C#<br />
   <input type="checkbox" name="languages[]" value="javascript" />JavaScript<br />
   <input type="checkbox" name="languages[]" value="perl" />Perl<br />
   <input type="checkbox" name="languages[]" value="php" />PHP<br />
   <input type="submit" name="submit" value="Wyślij!" />
</form>

Zadaje sobie pytanie po co tam htmlentities?

bo mozna zrobic XSS'a podmieniajac value w konsoli

stivens: czyli wszędzie trzeba dawać html entities?

Nie no. Jak masz jakiegos boola (true/falsa) to nie

@stivens:
czyli takiego checkboxa nie trzeba

<input type="checkbox" name="checkbox">
if(!isset($_POST['checkbox'])){```

ale takiego buttona już tak?
```php  
<input type="button" name="button" value="xss" >
if(!isset($_POST['checkbox'])){```

czyli wszędzie tam gdzie jest parametr value?

ale value buttona nie jest przesylane w formularzu?

@stivens tak, oba są, ale to tylko poglądowo napisane

W kazdym razie nie ufasz danym nadeslanym w formularzu bo do wykonania zapytania nie jest potrzebna nawet przegladarka a tresc zapytania moze byc dowolna. Jesli to co przyjdzie od uzytkownika jest potem wyswietlane to mamy podatnosc XSS

Jesli to co przyjdzie od uzytkownika jest potem wyswietlane to mamy podatnosc XSS
stivens: To zdanie zapamiętam do końca życia. Dzięki!

Ogólnie wszystkim danym z zewnątrz (nawet z bazy danych) nie powinieneś ufać. Nie ważne czy będziesz je wyświetlał czy nie. Uważaj też, żeby funkcji htmlenties nie nadużywać. Ja miałem ostatio kłopot, ponieważ pewien sprytny programista na wejściu wszystkie $_POST, $_GET etc. przepuścił przez htmlentites. Póżniej w skrypcie tworzył randomowe hasło. Gorzej było, kiedy w tym haśle był np. znak &. W bazie zostało zapisane hasło z tym znakiem, ale przy próbie logowania (po wysłaniu formularza przez POST) & zostało zamieniane na &&, więc hasła nie mogły się zgadzać.

Wydaje mi się, że zamiast przerabiać dane, lepiej sprawdzać czy pasują do określonego patternu...

Fakt tworzenia hasła dla użytkownika przemilczmy ;)