dedlfix: $_FILE in DB speichern

Beitrag lesen

echo $begrüßung;

Ah, wieder ein Beispiel, wie man es nicht machen sollte. Leider gibt es davon schon zu viele.

$eintrag = "INSERT INTO Daten (bildername, suchwoerter, datei) VALUES ('$_POST[bildername]', '$_POST[suchwoerter]', '$_FILES['datei']['name']')";

Mal abgesehen von der {}-Problematik, hast du dir mal überlegt, was passiert, wenn jemand in das Eingabefeld ein ' eingibt und das Feature Magic Quotes (aus gutem Grund) nicht aktiviert bzw. ab PHP6 gar nicht mehr vorhanden ist? Das gibt einen Syntax-Fehler. In harmlosen Fällen. Die schwerer wiegenden Fälle nennt man SQL-Injection. Das Gegenmittel nennt sich Escaping. Beispielsweise für MySQL gibt es mysql_real_escape_string().

echo "$verabschiedung $name";