[Erledigt] ist htmlspecialchars ausreichend?

[chuvak]

Um SQL-Injections zu umgehen, bin ich auf Funktionen wie [MAN]htmlspecialchars[/MAN], [MAN]mysql_real_escape_string[/MAN], [MAN]addslashes[/MAN] gestoßen.

Sind die Funktionen ähnlich sicher?
Würde es reichen, jeweils eine Funktion davon zu benutzen:

$username = htmlspecialchars($_POST['username']); 

Oder gibt es da entscheidende Unterschiede?

[wolf29]

Hi.

Lies Dir mal bitte das hier durch, dann hast du das entsprechende Verständnis dafür:

PHP: SQL Injection - Manual

Wolf29

[ChrisB]

Bitte lies diesen Artikel komplett und aufmerksam durch:
http://aktuell.de.selfhtml.org/artik...ontextwechsel/

[Asipak]

Natürlich gibt es da Unterschiede und natürlich findest du sie im Handbuch.

[mermshaus]

htmlspecialchars ist *nicht* ausreichend,

<?php

$param = 'test\\';
$param2 = '; DROP TABLE `tbl`; --';

$q = "SELECT `col1` FROM `tbl`
      WHERE  `col2` = '" . htmlspecialchars($param) . "'
      AND    `col3` = '" . htmlspecialchars($param2) . "'";
echo $q;

addslashes ist *nicht* ausreichend.

htmlspecialchars ist zur Ausgabe im Browser gedacht und hat mit Datenbanken nichts am Hut. Wozu addslashes nützlich sein soll, entzieht sich meiner Kenntnis.

Edit: Und nur, weil die Leute ja auf die lustigsten Ideen kommen: htmlentities ist ebenfalls *nicht* ausreichend (siehe htmlspecialchars). htmlentities ist heutzutage, wo die meisten Seiten als UTF-8 ausgeliefert werden können, ohnehin ein wenig ein "Auslaufmodell". htmlspecialchars ist meist die bessere Alternative.

[chuvak]

Ich habs jetzt:

- mysql_real_escape_string vor dem Speichern in die Datenbank nutzen, um die Query gegen Manipulation zu schützen.
- htmlspecialchars vor jeglicher Bildschirmausgabe verwenden, egal, ob nach Auslesen aus der Datenbank oder beim Wiederbefüllen des Formulars, bei unvollständigen Eingaben.

Danke für die Links!

[ChrisB]

- html_entities vor jeglicher Bildschirmausgabe verwenden

Nein - eher htmlspecialchars (und eine vernünftige Zeichenkodierung) verwenden.

[chuvak]

Jetzt richtig?