Kommentarformular in die Datenbank *Sicherheit*

[EKKi]

Mahlzeit Haspin,

Ich habe aber ein paar bedenken bezüglich der Sicherheit, da ich die Daten aus dem Textfeld in die Datenbank spiele möchte ich sicherstellen, das mir da nichts durchrutscht.

Was verstehst Du unter "nichts durchrutscht"?

Irgendwie finde ich den real_escape_sting als unzureichend um Textfelder per post in die Datenbank zu schieben.

Warum? Kannst Du außer einem "Bauchgefühl" noch irgendwelche nachvollziehbaren Gründe nennen?

Was meint ihr?

Speichere das, was die Benutzer eingegeben haben, in der Datenbank. Nutze dabei entsprechende Funktionen (wie die von Dir erwähnte mysql_real_escape_string()), damit beim Kontextwechsel Formularinhalt -> SQL alles glatt läuft.

Behandle den in der Datenbank gespeicherten Inhalt bei der Ausgabe (also beim Kontextwechsel Datenbank -> HTML) mit entsprechenden Funktionen ... vorher kannst Du natürlich gerne alle evtl. vorhandenen Tags entfernen - beachte aber den Wortlaut der Beschreibung: "Diese Funktion *versucht* [...]"!

MfG,
EKKi