1989moni1989

Hallo!

Ich habe ein Projekt (Stammendatenverwaltung für Kleinbetriebe) das mehrere Firmen benutzen können. Je nach URL unterscheide ich für welche Firma das Programm aufgerufen wurde und frage dann bei jedem SQL ab ob der Datensatz zu der Firma gehört.

Beispiel: SELECT * FROM kunden WHERE FirmaID = '{$_SESSION['FirmaID']}'

Gibt es irgendeine bessere Möglichkeit zu verhindern, dass die eine Firma die Daten von der anderen Firma sieht? Zwei getrennte Datenbanken wären natürlich schön, das geht aber leider nicht...

Schön wäre es, wenn man zB zum Verbinden mit der Datenbank sagt, dass FirmaID immer 1 sein muss und bei jedem SQL-Statement filtert er dann selbst danach sofern die Spalte existiert...

Gibt es irgendsowas? Weil wenn man jedes Mal die FirmaID in das SQL-Statement einbauen muss, vergisst man es unweigerlich irgendwann mal und dann sieht die eine Firma die Daten der anderen, was natürlich aus Datenschutzgründen gar nicht geht.

Lg

Mister Ad

akretschmer

Du könntest alle Aufrufe zu den Tabellen durch Funktionen kapseln, SECURITY Invoker. Dein 'normaler' User darf nur diese Funktionen aufrufen, er hat keinerlei weiteren Rechte auf den Tabellen. Damit verhinderst Du so ganz nebenbei auch noch SQL-Injection.

Die Doku enthält alle weiteren Details.


Andreas