Alpha Centauri

Wenn ich eine ID zur Datenmanipulation in der Browserzeile übergebe, z.B. w w w. adresse .de/?id=123 , könnte jemand darauf kommen sql-injektion zu betreiben, weil er vermuten würde , das die abfragen an eine SQL-DB gehen.

Ich möchte so weit wie möglich Injektion-Versuche verhindern.
Würde dazu die funktion addslashes() für die Behandlung der Vatiable ausreichen. Das Problem soll auch betrachtet werden wenn nicht ID als Zahl sondern als Zeichenkette auftritt.

Mister Ad

Wenn es sich um eine Zahl handelt (handeln muss), dann mach halt explizit eine draus.
$id = intval($_GET['id']); oder $id = (int)$_GET['id'];

Alpha Centauri

Jupp, das war mein 1. Gedanke aber wenn es nun Strings sind?
Habe ich mit addslashes() Alles abgedekt oder gibt es da noch was zu beachten?

Wenn Du weisst, dass es eine mysql Datenbank ist, dann nimm doch deren Funktionen. http://de2.php.net/manual/en/functio...ape-string.php

alles rauschneiden was nicht
a-zA-Z0-9-_
ist

Alpha Centauri

Danke Dir Bruchpilot, ich war wohl etwas übereifrig mit der Frage
Habe gerade einen Artikel bei Wikipedia entdekt http://de.wikipedia.org/wiki/SQL-Injection#PHP aber die Frage kommt sicher noch öfter.

imported_Ben

In einem anderen Forum hatten wir auch mal über SQL-Injection gesprochen und es war wirklich interessant, wie unterschiedlich die Leute doch an das Thema rangehen.
Die Diskussion findet man hier.

Letztendlich kam aber auch der Link zum Wikipedia-Artikel vor . Hehe ..

__________________
Webentwickler-Blog - Buchbesprechung PHP Design Patterns - SQL-Antipatterns