это фича

Misha v.3 22.08.2007 18:38

дело в том, что для разных sql серверов надо делать разные taint преобразования (см. доку). поэтому taint[sql] имеет смысл только внутри connect.

однако что происходить будет дальше зависит от места, куда будет выводиться строка. в простом случае можно было бы ругаться в любом случае, если строка выводится не sql серверу (т.е. вне запроса). но ПАФ-у простой случай показался не очень эффектным, поэтому он сделал так, чтобы покрашеные в такой язык буквы можно было сложить в строковую переменную и записать в файл.

зачем? а чтобы сгенерить корректный sql скрипт, который потом можно было-бы скормить sql серверу и при этом не заморачиваться с ручными эскейп преобразованиями.

однако судя по вашему сообщению подобное поведение ломается, когда данные выводятся в броузер.

---