fab

Was ist das denn für ein Unsinn?

Edit: mysqli_real_escape_string ist hier tatsächlich nicht angebracht, das liegt aber daran dass kein String sondern eine Zahl übergeben wird. Filtern musst du den Wert trotzdem, hier eben mit intval() oder type casting.

__________________
PHP Blog + Library
CSS Effects + Tools

Mister Ad

Arne Drews

In einer WHERE-Klausel mag das u.U. noch nützlich sein, obwohl ich das auch dort nicht für notwendig halte.

__________________
Phantasie ist wichtiger als Wissen, denn Wissen ist begrenzt.
Probleme kann man niemals mit derselben Denkweise lösen, durch die sie entstanden sind.
Albert Einstein

fab

Injections sind an jeder Stelle übel, glaub mir. Wie kommst du überhaupt darauf?

__________________
PHP Blog + Library
CSS Effects + Tools

Arne Drews

Ich wollte damit nicht sgaen, daß ich die Werte gar nicht filter, aber in der Where-Klausel eines Select, filtere bzw. caste ich die Werte immer auf den von mir erwarteten Datentyp. Da brauch ich imho kein *_real_escape_string mehr.

...das' klar

__________________
Phantasie ist wichtiger als Wissen, denn Wissen ist begrenzt.
Probleme kann man niemals mit derselben Denkweise lösen, durch die sie entstanden sind.
Albert Einstein

fab

Dann habe ich dich missverstanden. Wie gesagt, bei Zahlen ist das richtig und auch das einzige was etwas bringt.

Lesestoff dazu: SQL Injections: Strings without Quotes

__________________
PHP Blog + Library
CSS Effects + Tools