Var aus einem Formular mit htmlspecialchars behandeln ausser...

[Thorsten]

ich habe ein Formular in dem 10 Einträge stattfinden, nach dem absenden sollen alle VARiablen (Einträge)  mit htmlspecialchars behandelt werden, ausser die Variable mit dem Namen -> text <-.

Muss ich jetzt jede einzelne mit htmlspecialchars umwandeln oder kannich das auf einen Rutsch und die Variable -> text <- dabei irgendwie ausklammern?

Thorsten

[Beat]

ich habe ein Formular in dem 10 Einträge stattfinden, nach dem absenden sollen alle VARiablen (Einträge)  mit htmlspecialchars behandelt werden, ausser die Variable mit dem Namen -> text <-.

Nein. Du musst die Behandlung erst vornehmen, wenn du Userinput im HTML Kontext ausgibst.

mfg Beat

[dedlfix]

Hi!

Du musst die Behandlung erst vornehmen, wenn du Userinput im HTML Kontext ausgibst.

Nicht nur Userinput. Es ist egal, woher die Werte kommen. Wenn sie nicht entprechend behandelt werden, werden sie vom Empfänger fehlinterpretiert. Das Augenmerk darf also nicht nur auf Eingabedaten liegen sondern muss vielmehr auf die Ausgabedaten gelegt werden.

Lo!

[Beat]

Du musst die Behandlung erst vornehmen, wenn du Userinput im HTML Kontext ausgibst.
Nicht nur Userinput. Es ist egal, woher die Werte kommen. Wenn sie nicht entprechend behandelt werden, werden sie vom Empfänger fehlinterpretiert. Das Augenmerk darf also nicht nur auf Eingabedaten liegen sondern muss vielmehr auf die Ausgabedaten gelegt werden.

Heute hast du den Drang zum Fenstersturz. Halt ein!

Es kommt auf den Datentyp an. Sonst wären Templates unmöglich.

mfg Beat

[dedlfix]

Hi!

Es kommt auf den Datentyp an. Sonst wären Templates unmöglich.

Sagen wir besser Datenart statt -typ, sonst verwechselt das noch jemand mit Integer, String, usw. Und ich sagte "entsprechend behandelt". Das bedeutet beispielsweise, dass HTML in HTML eingefügt nicht behandelt werden muss, und Daten, die nicht als HTML interpretiert werden sollen, behandelt werden müssen. Es ist also darauf zu achten, was wohin eingefügt werden soll und dann die passende Methode dafür auszuwählen.

Lo!

[dedlfix]

Hi!

ich habe ein Formular in dem 10 Einträge stattfinden, nach dem absenden sollen alle VARiablen (Einträge)  mit htmlspecialchars behandelt werden, ausser die Variable mit dem Namen -> text <-.

Wieso nach dem Absenden? Das macht das Verarbeiten schwerer, wenn sie nicht mehr im Rohformat vorliegen. Werte sollten erst dann für ein bestimmtes Ausgabemedium behandelt werden, wenn sie an dieses Ausgabemedium übergeben werden. Wenn man sich dies zur Regel macht, erst zur Ausgabe und dann alle Werte zu behandeln, dann muss man nicht erhöhte Aufmerksamkeit walten lassen, wann in der Vergangenheit bereits welche Werte behandelt wurden und welche nicht.

Muss ich jetzt jede einzelne mit htmlspecialchars umwandeln oder kannich das auf einen Rutsch und die Variable -> text <- dabei irgendwie ausklammern?

htmlspecialchars() arbeitet mit einem Wert, und nicht beispielsweise mit einem Array. Also muss sowieso jeder Wert einzeln behandelt werden.

Lo!

[Tom]

Hello,

ich habe ein Formular in dem 10 Einträge stattfinden, nach dem absenden sollen alle VARiablen (Einträge)  mit htmlspecialchars behandelt werden, ausser die Variable mit dem Namen -> text <-.

Muss ich jetzt jede einzelne mit htmlspecialchars umwandeln oder kannich das auf einen Rutsch und die Variable -> text <- dabei irgendwie ausklammern?

Du kannst die Verarbeitung ein wenig automatisieren.
Da Du ohnehin feststellen musst, welche Daten Du vom Client bekommst, ob sie vollständig eintreffen (also kein Parameter fehlt) und ob auch kein Paramter unerwartet zusätzlich gesendet wird, wirst Du ja ohnehin eine Vergleichsliste bereithalten.

Diese kannst Du dann mittels einer Funktion abarbeiten und nachprüfen, ob alle Pflicht-Parameter vorhanden sind und ob keiner zusätzlich übertragen wurde. Außerdem sollte ja bei dieser Gelegenheit auch die Formatvorschrift überprüft werden, also die Umwandelbarkeit in den benötigten Datentyp.

Wenn Du später die Ausgabe vorbereitest, kannst du ebenfalls mit einem solchen "Datensatz" arbeiten und die Bereitstellung der Daten und das Vorbehandeln automatisieren.

Erst zum Schluss werden dann die vorbehandelten Daten ins Template eingestanzt und dieses vollständige Datenpaket an den Client gesandt.

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg