Sicherheit: MySql-Injection und Zugriff "von aussen"

[Der Martin]

Hi,

Kodiere einfach die Werte. Fertig.
Zum Kodieren benutze ich md5(). Okay?

nein, das hat Cheatah an dieser Stelle garantiert nicht gemeint. Das Codieren (hier: Verschlüsseln oder Hashen) eines Passworts ist eine Sache, dafür ist md5() auch geeignet. Viel wichtiger ist aber das Codieren nach den Vorgaben des verwendeten DBMS, wenn man die Daten dorthin übergibt. Bei der Übergabe von Stringwerten mit PHP an eine mySQL-DB wäre das typischerweise mysql_real_escape_string().

Ausserdem sollen, so mein Infostand, keine Steuerzeichen in die gespeicherten Daten, wie ";" und "" usw.

Wenn du die Codierungs- und Maskierungsregeln des jeweiligen Kontexts einhältst, ist das kein Problem.

Warum umleiten, wenn Du einfach den Login-Prozess starten und wieder an der Stelle landen kannst, wo der Nutzer hin wollte?
Das ist strukturbedingt. Es gibt keinen Link "zum Login". Das Loginformular ist ständig sichtbar in einem div-Bereich - bis man sich eben eingeloggt hat.

Dann erst recht: Nach erfolgreichem Login nicht wieder irgendwohin umleiten, sondern direkt unter derselben Adresse das Dokument ausliefern.

Es soll sich dabei um eine Datei handeln. Muss man die selber einrichten?
Ja, das nennt sich allerdings "abspeichern".
Nun, ich beschäftige mich erst seit kurzem mit htaccess. Aber auch als blutiger Amateur leuchtet mir ein, dass das Abspeichern einer leeren Datei wohl nicht viel bringt......oder?

Natürlich. Aber es bringt nichts, wenn wir dir hier die Feinheiten der Apache-Konfiguration aufzählen. Es ging in deinem Posting, so wie ich es verstanden habe, erstmal um die Frage, "Was ist .htaccess?". Und das hat Cheatah erklärt: Es ist eine lokale Konfigurationsdatei für den Apache-Webserver.

Heisst, Dateien ausserhalb des DocumentRoot können NICHT erreicht werden?

Nicht direkt über HTTP. Ein PHP-Script, das seinerseits erreichbar ist, kann natürlich darauf zugreifen und sie dennoch ausliefrn. PHP (oder eine andere serverseitige Scriptsprache) unterliegt ja nicht den Zugriffsbeschränkungen von HTTP.

Der Pfad wird ja beim Besuch im unteren Browserrand angezeigt und kann sich gemerkt werden.
@Der Martin
Ja, ich meine die Statuszeile: Mauszeiger über Link - Link wird in Statuszeile angezeigt - Link kann notiert werden - Link kann später vom User im Browser eingetippt werden. Deutlicher?

Ja. Ich dachte, du redest von der Browser-Adresszeile und habe mich gefragt, in welcher ungewöhnlichen Browserkonfiguration die wohl *unten* ist.

Ciao,
 Martin