SQL-Injektionen, CrossSite Scripting, Affenformular u. Usability

[Dennis]

Hi,

~~~php

$sql = sprintf(

"INSERT INTO songtexte (interpret, album, datum, songtext) VALUES ('%s', '%s', '%s', '%s')",
            $interpret,
            $album,
            $datum,
            $songtext
         );
  $result = mysql_query($sql) OR die(mysql_error());

  
Autsch, jetzt wollte ich ein schönes Beispiel schreiben und habe selber vergessen, mysql\_real\_escape\_string() da hinein zu schreiben ;-) Dies hier (und genauso bei meinem ersten sprintf()-Beispiel) muss natürlich lauten:  
  
  ~~~php
$sql = sprintf(  
           "INSERT INTO songtexte (interpret, album, datum, songtext) VALUES ('%s', '%s', '%s', '%s')",  
            mysql_real_escape_string($interpret),  
            mysql_real_escape_string($album),  
            mysql_real_escape_string($datum),  
            mysql_real_escape_string($songtext)  
         );  
  $result = mysql_query($sql) OR die(mysql_error());

Viele Grüße,
  ~ Dennis.