Umkreissuche

[Christian Kruse]

Hallo dedlfix,

Die Wahrscheinlichkeit halte ich für äußerst gering. Da müsste schon grundlegend etwas an der Syntax für Stringliterale gedreht werden. Und das würde jede Menge Anwendungen kaputtmachen, die Escaping nicht oder anders verwenden. Solch ein Schritt wird nicht ohne Not erfolgen.

Es ging mir nicht um die Wahrscheinlichkeit. Es ging mir darum, dass diese Fehlerklasse sich leicht vermeiden lässt indem man die korrekte Methode zum escapen verwendet. Wenn man Fehlerklassen vermeiden kann, sollte man das tun, Stichwort robuste Programmierung - es gibt schon mehr als genug Möglichkeiten Bugs einzubauen.

Edit: um das nochmal zu verdeutlichen: für einen Sicherheits-Aspekt sind mir das zu viele Wenns und Abers. Du hast recht, dass addslashes() reicht, wenn UTF-8 als Encoding benutzt wird. Aber das alles zu beachten ist zu komplex, KISS ist für Security essentiell. Eliminiere diese Fehlerklasse! In anderen Encodings gibt es nämlich durchaus die Möglichkeit, addslashes() auszutricksen, siehe etwa diesen Blogpost (danke, @mermshaus, für den Link).

LG,
CK