SQL-Injektionen, CrossSite Scripting, Affenformular u. Usability

[dedlfix]

echo $begrüßung;

Egal was ich mach, <> krieg ich einfach nicht maskiert.
Um welche <> geht es denn? Diese beiden Zeichen sind im MySQL-Kontext völlig harmlos. Dafür müssen sie nicht behandelt werden.
Du verwirrst mich grad ein wenig. :) Muss ich nicht eingaben Prüfen, bevor ich diese in meine DB schreibe?

Betrachte bitte jeden Kontext getrennt für sich allein. Es ist uninteressant, welche Kontexte später mal eine Rolle spielen werden.

Wenn du bestimmte _Inhalte_ nicht speichern möchtest, kannst du diese natürlich entfernen. Aber mach das nur, wenn der Inhalt nicht zum Thema der Anwendung passt. Besonderheiten irgendeines (späteren) Ausgabemediums sind kein Kriterium für das Bearbeiten der Inhalte.

Ich hab mir ne testseite angefertigt, wenn ich darüber z.b. <a href=a>a</a> in die Datenbank schreibe und das gespeicherte aus der Datenbank abrufe, in meinem Browser steht es im html Dokument so wie oben <a href=a>a</a>.

Möchtest du dies - für die Ausgabe betrachtet - als Inhalt gewertet wissen oder als HTML-Code? Wenn es anzuzeigender Inhalt ist, dann bearbeite ihn HTML-gerecht, im Augenblick der Übergabe an das Ausgabemedium. Sprich: echo htmlspecialchars($inhalt);

Du verstehst ja sicherlich, was das Ziel des Scriptes ist, wie soll ich das ganze umsetzen?
Ich hab gestern Nacht auch mit sachen wie

[wenig sinnvolle Behandlung]

Nur die Ausgabe war nicht wie gewünscht, da kamen dann sachen wie %3irgendwas und auch
die \n hab ich nicht als <br> ausgegeben gekriegt, die kamen dann auch irgendwie mit %3br%3.

Mit Kanonen auf Spatzen zu schießen erzeugt nun mal große Löcher in der Landschaft. Mitunter fliegt der Spatz auch noch weg bevor die Kugel trifft.

Zurzeit lese ich die Daten aus der DAtenbank mit diesem Script aus
    echo "$row->songtext <br />";
hier muss ich dann wohl htmlspecialchars() nutzen, seh ich das richtig?

Ja, und nur das.

echo "$verabschiedung $name";