Hele v2 funktionen har til formål at tjekke efter specifikke inputs, matchende ud fra en regular expression:
if (preg_match("/(.)=(.)--/", $content)) {
Jeg er ikke alt for stærk i regexps, men det ligner for mig et tjek efter en klassisk "' OR n=n--"-injection.
Jeg er dog klar over at han escaper alt input, men så er vi tilbage ved Magic Quotes. Hvorfor escape alt input, og kører en regular expression på hver inputvariabel, hvis man f.eks. ikke bruger alle inputs i en database, eller vælger at bruge prepared statements eller lignende.
En helt anden ting er, hvad så hvis man bruger cookie variabler? De er ikke beskyttet her jo. Så risikere man bare at man får alle ens post- og get-variabler escaped, men så glemmer man lige at få dem fra cookies escaped også.
Jeg holder derfor stadig på at det er bedst at escape sine inputs der hvor det er nødvendigt, og være klar over at man gør det, frem for at escape alle inputs, og så tage det for givet at de er escaped. Såvidt jeg ved var dette også en af grundene til at magic quotes blev fjernet fra PHP.