nicht angemeldet
Tach!
Reicht es da nicht aus die VAR über
mysql_real_escape_string($_POST['name'])
in die MYSQL Datenbank zu schreiben:
Es reicht für den Kontext "String in einem SQL-Statement" völlig aus. ("String" verlangt, dass der Wert im Statement in Anführungszeichen eingefasst wurde, sonst bringt das Escapen gar nichts.)
oder sollte man sie vorher noch mit
stripslashes und strip_tags
weiter behandeln:
stripslashes() benötigst du, wenn du eine uralte PHP-Version vorliegen hast oder eine, bei der der Administrator absichtlich immer noch Magic Quotes aktiviert hat. Magic Quotes verunstalten Eingabedaten, die du - so es bei dir der Fall ist - einmalig am Script-Anfang in verarbeitbare Daten zurückführen solltest.
strip_tags() bringt im DBMS-Umfeld keine Punkte. Diese Funktion brauchst du nicht aus Sicherheitsgründen, sondern wenn du mit einem recht groben Werkzeug HTML-ähnliche Textbestandteile entfernen möchtest. Sie wird gern verwendet, damit der Anwender keine Chance bekommt, HTML-Code in seinem eingegebenen Text/Kommentar/wasauchimmer unterzubringen. Allerdings können sie noch auf genügend andere Weisen Müll fabrizieren.
Auch für dich wird die Grundlagenliteratur zum Kontextwechsel hilfreich sein.
dedlfix.
suit