Tabellenwerte in <form eingeben

[Rolf B]

Hallo Felix,

ok, ich hätte gedacht du wolltest vor Codeinjektionen durch böse Namen warnen. Angesichts der Historie von PHP ist ein solches Loch durchaus vorstellbar.

Dass jemand direkt aus dem $_POST Array SQL generiert, darauf wäre ich nun nicht gekommen. Aber Deppen, die solche „genialen“ Ideen haben und vielleicht auch noch anpreisen, gibt's im wirren weiten Web genug.

Die rettest du aber auch nicht mit deinem Namenskonzept. Ob ich foo-123-name schreibe und daraus SQL generiere oder ngc[1701][captain]^[1] ändert nichts, solange man stumpf generiert.

Rolf

---

1. ja Gunnar, dieser Index ist ggf nicht numerisch ↩︎