Zeit für den Sicherheits-Check!

[Andreas]

Moin!
Zunächst auch Dir vielen Dank für Deine Hilfe!

1. Ohne Cookies kann man sich garnicht anmelden. PHP-Sessions gehen auch ohne Cookies. Zumindest einen textlichen Hinweis, daß Cookies unabdingbar sind, wäre schön.

Cookies oder Cockies? Jedendfalls hast Du Recht, geht auch ohne Cookies, nur darum wollte ich mich jetzt nicht kümmern, werde das ggfs mal umstellen, auch in dem Wissen das das um so mehr Arbeit ist, aber zur Zeit stehe ich unter extremen Zeitdruck!
Hinweis fehlt tatsächlich noch.

2. AGB: Zwei unerklärliche Leerzeilen bei Punkt 7 und 10. Die Belehrung darunter verweist auf "die oben angegebe" Adresse, welche in Wirklichkeit aber drunter steht.

:-)

3. Es nervt, daß man ständig automatisch, aber ohne Beschleunigungsmöglichkeit auf die Kundenseite zurückkommt, beispielsweise nach Änderungen. Wenn der Tipp gegeben wird, sich Änderungen auch nochmal anzeigen zu lassen, wäre ein Link direkt zur Anzeigeseite ganz gut.

Hast auch Recht, werde das entsprechend einbringen.

4. Javascript wird immer noch nicht rausgefiltert, ebenso sind beliebige HTML-Tags möglich.

Noch keine Zeit gehabt, da ich mir noch nicht 100%ig sicher bin, wie ich das am besten anstelle, ich denke wie beschrieben mit der Funktion, die das auf der Anzeigeseite erledigt!

5. Wie komme ich von der Anzeige des Angebots wieder zum Bearbeiten-Menü zurück? Die Browser-Zurücktaste kann es ja wohl nicht sein, oder?

*stöhn* hast Recht, diese Art von Links fehlen überall, auch die obere Leiste, das Logo wird noch verlinkt...

6. Die persönlichen Daten des Testaccounts lassen sich nicht ändern, obwohl sie laut Meldung geändert wurden.

Sicher lassen die sich ändern?! Bei mir geht das einwandfrei! Benutzt Du Netscape? Jedenfalls wenn ich eingeloggt bin, auf Daten ändern und dann irgendwas eingebe, steht das beim nächsten mal auch da drin. Und da ich alles mit PHP mache kann das doch irgendwie nicht sein, oder?

7. Ist bei deinem PHP die Option "Magic-quotes" eingeschaltet? Oder benutzt du "addslashes" für die Eintragung von Formularwerten? Wäre nämlich nicht gut, wenn jemand als Feldeintrag folgende Zeile eingibt:

irgendwas');DROP database zufallstreffer;restmüll
und dein PHP-Skript setzt das in dieses MYSQL-Statement um:
INSERT INTO tabelle (spalte) VALUES ('irgendwas');DROP database zufallstreffer;restmüll')

Tatsächlich? Aber was richtet das denn an, nach ; ist das Statement doch zu Ende, oder? Gibt höchstens einen Error, oder meinst Du die kpl. DB ist weg?

Vielen Dank nochmal! Werde die Hinweise so gut und schnell wie möglich einarbeiten, nur dads mit dem Ändern der Userdaten verstehe ich nicht?!

Grüsse
  Andreas