nicht angemeldet
Guten Tag,
ich habe den Artikel zum Kontextwechsel ( http://aktuell.de.selfhtml.org/artikel/php/kontextwechsel/ ) gelesen, bin aber aus dem Teil, wo es um URLs geht nicht schlau geworden.
Folgendes passiert auf meiner Homepage häufig:
In einem Formular wird eine Eingabe des Users durch die URL an ein PHP Script gesendet. Dort angekommen wird sie schließlich auf der Seite ausgelesen. MEine Frage ist nun, mit welchen Maßnahmen schütze ich mich dagegen, dass ein User irgendeinen Script über das Formular ausführt? Angenommen er sendet irgendwie sowas: <script>[... hier wird meine Seite gehackt] </script>.
Zur sicherung habe ich die variable, gleich nachdem sie im PHP_Script empfangen wird mit htmlspecialchars() versehen. Also so:
$variable=htmlspecialchars($_GET['variable'], ENT_QUOTES);
später wird sie dann so im Browser mir $variable ausgebeben.
Im Anderen Fall übergebe ich sie wieder an eine URL:
header("LOCATION: testscript.php?variable=$variable");
Ist mein Vorgehen so sicher?
Auge