Fragen zur Volltextsuche

[Jonathan]

Hallo Max,

Ist dieser Teil auch unsicher?

Ja, du hast ja auch nicht viel verändert, außer ein paar werte zu überprüfen und das Query anders anzuordnen.

Wichtig ist, dass du _alle_ $_POST[]s und andere Daten, die aus unsicheren Quellen (nämlich vom Benutzer) kommen auf Plausibilität überprüfst, bzw. unerwünschte Zeichen maskierst.

Für dein SQL-Query solltest du alle $_POST-Werte vorher durch mysql_real_escape_string() jagen.

Also anstatt

mysql_query("
   INSERT INTO rezepte
    (name, zutat1, zutat2, zutat3, zutat4, zutat5, zutat6, zutat7, zutat8, zutat9, zutat10, text, zeit)
   VALUES
    (
     '$_POST[name]',
[...]
    )"

folgendes machen:

mysql_query("
   INSERT INTO rezepte
    (name, zutat1, zutat2, zutat3, zutat4, zutat5, zutat6, zutat7, zutat8, zutat9, zutat10, text, zeit)
   VALUES
    (
     '" . mysql_real_escape_string($_POST[name]') . ",
[...]
    )"

Natürlich könnte man überlegen, die Werte der Übersicht halbder in Variablen zwischenzuspeichern oder eine Hilfsfunktion zum zusammensetzen zu verwenden.

Jonathan