Hin und zurück (htmlspecialchars-mysql_real_escape_string)

[Auge]

Hallo

Beispiel: Die Eingaben eines Besuchers in einem Gästebuch müssen zum Abspeichern in einer MySQL-DB im Query mit mysql_real_escape_string maskiert werden.

Aber auch, wenn ich irgendwo eine Zahl erwarte und den Input des Users mit settype in einen Integer gewandelt habe? Danach sollte mysql_real_escape_string doch unnötig sein??

Ja, dann ist es unnötig. Mit $zahl = (int) $bla; wird der Inhalt von $bla zu einer Integerzahl, im Zweifelsfall 0. Das geht bei Inetegerzahlen auch mit intval (analog auch mit anderen Typen (siehe "siehe auch" ebenda)).

In der Datenbank stünde jedenfalls immer eine Integerzahl und solche sind bei der Übertragung per Query ungefährlich, wenn sie dort stehen, wo sie hingehören.

Tschö, Auge