nicht angemeldet
ich muß öfter Formulardaten in eine Datenbank schreiben (Name, Adresse, ...) oder als Suchquery in einer Datenbank verwenden.
Was ist denn so üblich damit mir da nicht jemand ein "drop table" oder so etwas als Name einfügt?
Nein, manchmal funktioniert das auch garnicht, weil die Schnittstelle nur einen Befehl annimmt. Nichtsdestotrotz kann man zum Beispiel durch Eingabe von Anführungszeichen Deine Abfrage zerlegen. Das ist dann zwar nicht schlimm für Dich, aber für den Benutzer.
Gibt es eine Möglichkeit alle übergebenen Variablen zu überprüfen auf Sonderzeichen, so man nicht einzelne Variable namentlich überprüfen muss?
Für MySQL mysql_escape_string(). Andere Schnittstellen bieten entweder ähnliche Funktionen oder man greift auf addslashes() zurück. Ein kurzer Blick in das Kapitel zu Deiner Datenbank in der PHP-Anleitung schafft Klärung.
Gruß,
soenk.e