Chris: PHP-Injection, gibt es sowas?

Beitrag lesen

Hallo,

Die Funktion mysql_real_escape() oder auch mysql_escape() bewirkt, [...]
Die Funktionen heißen mysql_real_escape_string() und mysql_escape_string() (wobei letztere nicht mehr verwendet werden sollte).

... und man sollte vorher sicherstellen, dass die Zeichenketten unmaskiert vorliegen, also nicht schon PHP Maskierungen (Backslashes) hinzugefügt worden sind. Die sollte man dann nämlich erst wieder entfernen oder aber den Automatismus ausschalten.

Dein Start-Link:
http://de.php.net/manual/en/function.get-magic-quotes-gpc.php

Anderenfalls landen die PHP-Maskierungen in der DB, was dann später beim Suchen und Sortieren enormes Durcheinander bringt.

LG
Chris