Door Anoniem: Wat betreft het sanitizen van input, zoals Erik noemt, kan je beargumenteren dat het beter is om dat te vervangen door het sanitizen van de output. Immers kun je niet van te horen weten op welke andere plekken deze gegevens terecht komen - dat hoeft niet altijd een website te zijn geschreven in HTML te zijn - waarmee het onduidelijk is waarop je precies zou moeten filteren. Inderdaad, ik zie in die hele vraag het woord website niet genoemd dus waarom zou je dan moeten filteren op dingen die op een website misschien problemen zouden kunnen geven in basis routines om een database te benaderen? Dat lijkt me iets om in een hogere laag te doen. Ik zou zelf nooit "SELECT *" gebruiken behalve in zelf ingetikte queries in een commandline tool om dingen te debuggen, maar dat is denk ik niet waar ze op doelen. Het belangrijkste van het hele verhaal is dat als je als bedrijf iemand een dergelijke opdracht geeft, en je gaat daar dan vervolgens een waardering voor geven, je die redelijkerwijs wel aan die ...