dedlfix: Sicherheit, Code Injections u.ä.

Beitrag lesen

echo $begrüßung;

Sofern es eine MySQL-Datenbank ist, sollte stets mysql_real_escape_string() verwendet werden. Sie bewirkt zwar noch das gleiche wie adslashes(),

Nicht ganz. addslashes() behandelt nur ', ", \ und \x0. mysql_(real_)escape_string() berücksichtigt außerdem auch \n, \r und \x1a. (Weiterhin berücksichtigt die real-Variante noch die Kodierung der aktuellen MySQL-Verbindung, was aber für die in der westlichen Welt hauptsächlich verwendeten Kodierungen ISO-8859-X und UTF-8 keinen Unterschied ergibt.)
addslashes() fängt zwar schon mal das Gröbste ab, aber eben nicht alles.

echo "$verabschiedung $name";