Es gibt ja eine Reihe von PHP-Funktionen um Formulareingaben vor dem Speichern und vor dem Auslesen einer Datenbank zu formatieren.

Meine Frage nun:
Welche könnt ihr mir empfehlen und in welcher Reihenfolge?

Momentan mache ich es wie folgt:

Einlesen:
Ausgeben:

Mister Ad

Und was hast Du Dir dabei gedacht?
Versuch doch einfach mal zu erklären, was da warum passiert und Du kommst schon ein gutes Stück weiter.

Ich persönlich mag z.B. die Vermischung von mysql_real_escape_string/htmlentities beim Eintragen nicht. Die Abfrage kann durch bestimmte Zeichen gestört werden; um diese kümmert sich mysql_real_escape_string. htmlentities() hingegen kümmert sich um Zeichen, die erst bei der Ausgabe und nur wenn es sich um html handelt, stören können. Das sind zwei unterschiedliche Schichten, die ich ungerne vermische.
Bei der Ausgabe läßt Du eh schon htmspecialchars() sich um die für html-Ausgaben störenden Zeichen kümmern.
Das stripslashes() halt ich sogar für falsch. Welche slashes müssen denn Deiner Meinung nach entfernt werden?

robo47

sollte kein magic_quotes aktiviert sein, kann das die eingabe durchaus verfälschen !

__________________
robo47.net - Blog, Codeschnipsel und mehr
| Caching-Klassen und Opcode Caches in php | Robo47 Components - PHP Library extending Zend Framework

Ich hab eigentlich 5 Ziele:
1. Smileys sollen angezeigt werden
2. HTML Code soll ignoriert werden
3. Zeilenumbrüche sollen nicht verloren gehen
4. Sonderzeichen sollen konvertieren werden
5. Leerzeichen am Anfang und Ende sollen entfernt werden

Wenn ich es richtig verstanden haben setzt mysql_real_escape_string vor Zeichen wie ' oder " einen Backslashm so dass der Speichern Vorangang nicht gestört wird. (also beim Einlesen)

htmlentities wandelt Sonderzeichen und Umlaute um sodass sie nachher auf jedem Broswer angezeigt werden können.(entweder ein oder Ausgabe)
--> beim Einlesen vor mysql_real_escape_string
--> bei der Ausgabe nach Stripslashes

htmlspecialchars soll HTML Code ignorieren so dass er nicht angezeigt wird. (also bei der Ausgabe)

nl2br setzt Zeilenbrüche in
um. (bei der Ausgabe, nach htmlspecialchars)


Das stripslashes soll nacher wieder die von mysql_real_escape_string eingefügten Backslashes entfernen. Ok jetzt sehe ich auch dass es völlig fehl am Platze ist.

So nun weiss ich aber nicht an welcher Stelle ich die eingefügten Slashes entfernen soll und wo ich die Sonderzeichen & Umlaute umwandeln kann.

Schonmal danke für deine Hilfe.

Kann ich mir also mysql_real_escape_string sparen wenn ich vorher htmlentities benutze?

robo47

sauber speichert man die daten einfach nur mit mysql_real_escape_string, bei der ausgabe kannste dann htmlentites oder was auch immer verwenden, weil man bei einem system immer dran denken sollte dass die daten ja vieleicht nochmal verändert werden sollen.
Datennach möglichkeit in unverändertem zustand speichern. dann kann man bei der weiterverarbeitung immernoch das draus machen was man gerne hat.

mfg
robo47

__________________
robo47.net - Blog, Codeschnipsel und mehr
| Caching-Klassen und Opcode Caches in php | Robo47 Components - PHP Library extending Zend Framework

Kofi

Guck dir einfach mal die Definitionen von htmlspecialchars() und htmlentities() an:

Da brauchst du nur eins von zu benutzen. Zwei fast gleiche Funktionen hintereinander sind nicht sooo toll .

Beide Funktionen haben übrigens imho schon nl2br() integriert, das brauchst du also auch nicht mehr extra machen.

Umlaute werden mit den Funktionen auch umgewandelt. Was das ganze macht, ist einfach Sonderzeichen, die als HTML-Code interpretiert werden in die entsprechenden HTML-Codes umzuwandeln. z.B.:

& in &
< in &lt;
> in &rt;
ä in &auml;
ö in &ouml;

und so weiter

Also:

Einlesen:
Ausgeben:
Ob man beim Ausgeben aber noch stripslashes machen muss, bin ich mir nicht sicher.

Kofi

Guck dir einfach mal die Definitionen von htmlspecialchars() und htmlentities() an:

Da brauchst du nur eins von zu benutzen. Zwei fast gleiche Funktionen hintereinander sind nicht sooo toll .

Beide Funktionen haben übrigens imho schon nl2br() integriert, das brauchst du also auch nicht mehr extra machen.

Umlaute werden mit den Funktionen auch umgewandelt. Was das ganze macht, ist einfach Sonderzeichen, die als HTML-Code interpretiert werden in die entsprechenden HTML-Codes umzuwandeln. z.B.:

& in &amp;
< in &lt;
> in &rt;
ä in &auml;
ö in &ouml;

und so weiter