Davido

Hallo an alle


Ich beschäftige mich seit gut einer Woche mit PHP und wollte hier gleich mal meine erste Frage stellen. Wie kann man gefährlichen Code aus Benutzereingaben entfernen. Und zwar:

1. Wenn man die Eingabe ausgeben will
2. Wenn man die Eingabe in einer Datenbank speichern will (SQL Injektion [??] vermeiden)
3. Wenn man die Eingabe speichern und dann exakt so, wie sie eingegeben wurde, ausgeben will


Ich bin mir nicht ganz sicher, aber ich denke, dass die originale Eingabe durch Befehle wie z.b. trim() verfälscht werden kann und das will ich möglichst vermeiden.


Es wäre schön, wenn ihr mir in der Sache weiterhelfen könnt.

Viele Liebe Grüße

Mister Ad

Zergling-new

Herzlich Willkommen im Forum

trim() ist doch sinnvoll. Selten machen Leerzeichen oder andere Whitespaces vor Benutzereingaben Sinn, es sei denn der Benutzer möchte Einfluß auf die Darstellung nehmen, die ihm nicht zusteht.

http://de.php.net/isset
http://de.php.net/empty
http://de.php.net/htmlspecialchars
http://de.php.net/htmlentities
http://de.php.net/trim
http://de.php.net/rtrim
http://de.php.net/ltrim
http://de.php.net/strlen

http://de.php.net/manual/de/security...-injection.php
http://de.php.net/addslashes
http://de.php.net/mysql_real_escape_string

Zu 3.: Naheliegend wäre hier, die Benutzereingabe einfach bedienungslos durchzuwinken. Dass du die Gefahren kennst, davon gehe ich aus. Zur Sicherheit nochmal:
http://de.wikipedia.org/wiki/SQL_Injection

d-jango

Zum anderen würde ich, wenn du die Möglichkeit hast, den Benutzer, mit dem du deine PHP-Skripte mit der Datenbank verbindest soweit in seinen Rechten beschränken, dass dieser z.B. keine Datenbanken löschen kann... o.ä.

Richte alles nach dem Minimalprinzip ein, dann ist das noch ein zusätzlicher Sicherheitsaspekt

__________________
http://www.fun2stay.de

Basti

Hi "Davido", ein herzliches Willkommen auch von mir.

Hast ja schon einiges an Futter bekommen. Dennoch ein paar grundsätzliche Worte von mir als Einstieg:

In PHP gibt es die Option magic_quotes.gpc. Wenn diese eingeschaltet ist (und das ist sie per default und auf praktisch allen Shared Hosts von Massen-Providern). Die Option bewirkt, dass alle eingehenden Werte wie mit addslashes() behandelt werden, allerdings auch ziemlich unvollständig und über die verschiedenen PHP-Versionen unkonsistent (siehe [1]).

Da das in aller Regel nicht das Escaping ist, das du brauchst, macht esSinn, diese Option erstmal pauschal abzuschalten oder ggf. ihre Wirkungen rückgängig zu machen.

Alles weitere hängt absolut davon ab, was du mit den Daten vorhast. Willst du die Daten in eine MySql-Query klopfen, dann nimm mysql_real_escape_string(), willst du sie als Option für eine Dateioperation verwenden, dann vielleicht basename(), soll ein Wert Teil einer bestimmten Wertemenge sein, dann z.B. in_array(), soll er ein bestimtes Schema erfüllen, dann z.B. preg_match(). Hängt einfach davon ab, was du willst.

Zur Ausgabe nimmst du im einfachsten Fall htmlentities(). Falls du z.B. UTF-8 verwendest, dann eben mb_convert_encoding().

[1] http://bugs.php.net/bug.php?id=29776

Basti