Kontaktformular Hack / Email Injection

[Vinzenz Mai]

Hallo,

• gestern habe ich gefragt, ob $_GET["id"] = (int)$_GET["id"]; gegen SQL Injection hilft. Die Antwort war ja.

Dies ist richtig.

Heute lese ich irgendwo im Netz, dass es weitesgehend hilft.

Dies ist falsch. Nicht weitestgehend. Es hilft. Für diesen speziellen Anwendungsfall. Für den Fall, dass Deine Anwendung einen Integerwert erwartet.
SQL-Injection ist jedenfalls über diesen Parameter *nicht* mehr möglich. Ganz sicher!

Ob es sinnvoll ist, die Daten überhaupt zu verarbeiten, wenn der Inhalt von $_GET['id'] unpassende Zeichen enthält, das ist eine andere Frage.

Bitte lies den Kontextwechsel-Artikel von dedlfix und den entsprechenden Abschnitt zu Integerwerten durch, auf den er Dich hingewiesen hat.

Freundliche Grüße

Vinzenz