Checkbox abfragen

[Gunnar Bittersmann]

@@Sara

es geht hier nicht um eine Ausgabe wie im Ausgangsposting sehen kannst, sondern um eine Datenbankabfrage bzw. um das Füllen von einer Variable. Daher ist diese Bemerkung von dir an dieser Stelle völlig unnötig.

Zum einen war die Bemerkung nicht von mir, sondern von Matthias. Ich hab sie lediglich präsiziert.

Zum anderen war sie ein Hinweis darauf, was du später mit deiner befüllten Variablen machst. Wenn du an späterer Stelle echo $tagesPreis; im Code hast, könntest du das Problem vielleicht übersehen.

Das soll nicht heißen, dass du gleich $tagesPreis = htmlspecialchars($_POST['tagesPreis']); schreiben solltest; sondern später dann eben echo htmlspecialchars($tagesPreis);.

Und die Beurteilung, welche Bemerkung an welcher Stelle nötig ist, überlässt du bitte denen, die Ahnung von dem Kram haben.

Auch ist deine Aussage falsch wenn man möchte, dass Code vom User ausgeführt wird, solche Anwendungen gibt es zu genüge!

Was dedlfix sagte.

Und man möchte nie, dass jedweder Code vom User ausgeführt wird.

Eingeschleustes JavaScript ganz sicher nicht. <script> käme auf die Blacklist der Dinge, die man abfangen muss.

Oder besser man führt eine Whitelist der Dinge, die erlaubt sind. Das muss auch kein HTML-Code sein. Wenn man Nutzer Formatierungen erlauben will, bietet sich auch BB-Code oder Markdown an.

Ein Beispiel, ich bekomme von unserem Lieferanten Daten die auch HTML Code beinhalten, wenn ich diesen durch htmlspecialchars laufen lassen würde, hätte ich eine verfälschte Ausgabe und wäre sofort meine Lizenz los und müsste mit einer Klage rechnen.

Und wenn du den Code vom Lieferanten unbehandelt ausgibst und damit Sicherheitslöcher aufreißt, wärst du sofort deine Lizenz los und müsstest mit einer Klage rechnen.

Du fügst aber nicht die Daten von deinem Lieferanten unbehandelt in deinen HTML-Code ein? Ich hoffe, ich habe dich falsch verstanden.

Allerdings kenne ich deine Beiträge und rege mich über solche Aussagen erst gar nicht auf.

Wenn du dir dir Mühe machst, meine Beiträge zu verstehen, hast du gar keinen Grund zur Aufregung.

LLAP 🖖