nicht angemeldet
Hallo allerseits!
Hallo!
Was passiert, wenn sich jemand unter dem namen ' oder "
anmeldet?
Du meinst die Zeichenfolge ' OR '1'='1
Du darfst halt nicht einfach per SQL abfragen, ohne dass du die Eingabe vorher überprüft hast. Also nicht
"select ... where name='$name' AND password='$password'", da sonst mit der obigen Zeichenfolge das hier passiert:
select ... where name='' OR '1'='1' AND password='' OR '1'='1'
Tata! Und so wird der erste Benutzer ausgewählt.
Also vorher auf nicht erlaubte zeichen überprüfen...
htmlspecialchars und htmlentities ist nicht sinnvoll, da diese eigentlich nur zum schreiben in HTML-Files gedacht sind...
MfG TarZ