Update Database schmeisst mir HTML formatierte Tags raus

[Rilana]

Hallo zusammen, weis nicht was ich falsch mache, ich habe eine Datenbank welche ich mit insert ganz normal fülle

$position = strip_tags($_POST['position']);

$insert_str1  = "INSERT INTO stelle (stellePosition) VALUES ('$position')";

$mysql = mysql_query($insert_str1);
} 

Und dann bei bedarf mit update verändere...

<TEXTAREA NAME="stellePosition" ROWS=1 ><? echo $myrow["stellePosition"] ?></TEXTAREA>

$stelleID = strip_tags($_POST['stelleID']); 
$stellePosition = strip_tags($_POST['stellePosition']); 

$sqlUpdate = "UPDATE stelle SET stellePosition='$stellePosition', WHERE stelleID=$stelleID";

Das funktioniert so auch, wenn da nicht das Problem wäre dass es mir HTML-Formatierungen nach jedem Update rausschmeisst!

Nach dem insert steht da zum Bsp. noch ein <li> aber nach dem update ist da kein <li> mehr.... der restliche Text jedoch schon.

Kennt eventuell jemand das Problem? Wie muss ich ein update machen damit die HTML-Fomatierung drinnen bleibt?

Vielen Dank für eure Tipps! Rilana

[ChrisB]

Nach dem insert steht da zum Bsp. noch ein <li> aber nach dem update ist da kein <li> mehr.... der restliche Text jedoch schon.

Ähm, hallo ...?

Was meinst du wohl, was die Funktion strip_tags, die du auf die Daten anwendest, macht? Könnte deren Name vielleicht schon ein Indiz sein ...?

[Rilana]

OK ChrisB schäm mich ja schon etwas, aber wie kann es sein dass es dann beim inserten geht, da verwende ich ja diesen strip_tag auch... ???

[ChrisB]

Das können wir nicht wissen, mit dem bisschen gezeigten Code.

Vielleicht hast du beim INSERT die Daten vorher schon mal mit htmlspecialchars behandelt, o.ä.

[fab]

Ähm, hallo ...?

Was meinst du wohl, was die Funktion strip_tags, die du auf die Daten anwendest, macht? Könnte deren Name vielleicht schon ein Indiz sein ...?

War bestimmt nur ein Tippfehler und sollte eigentlich mysql_real_escape_string() heißen, die Tasten liegen so nah beieinander

Aber ernsthaft, auch beim INSERT werden die Tags entfernt wenn er wirklich genau so abläuft wie du hier schreibst. Wenn nicht, hast du irgendwo anders im Code noch einen weiteren Fehler, der diesen Fehler maskiert hat.

[Rilana]

Hallo, habs nun mit htmlspecialchars das funktioniert... ist es falsch? was ist besser an real_escape? (hacker sicherer?) bis jetzt hab ich noch nicht herausgefunden weshalb es beim insert geht, werde aber beides ändern.

[Rilana]

OK hab gelogen! hab nur striptag bei den $ wo kein html möglich ist... sorry für die falsch Info!

[ChrisB]

Artikel:Kontextwechsel – SELFHTML - lesen, verstehen, künftig berücksichtigen.

[fab]

Hallo, habs nun mit htmlspecialchars das funktioniert... ist es falsch? was ist besser an real_escape? (hacker sicherer?) bis jetzt hab ich noch nicht herausgefunden weshalb es beim insert geht, werde aber beides ändern.

Äpfel und Birnen... Das sind zwei ganz verschiedene Paar Schuhe, htmlspecialchars macht nur Sinn bei der Ausgabe als HTML, mysql_real_escape_string innerhalb eines MySQL Queries. Schlag die Funktionen ruhig mal im Manual nach, wenn du nicht weiter mit beten&hoffen programmieren willst

[nikosch]

OK hab gelogen! hab nur striptag bei den $ wo kein html möglich ist... sorry für die falsch Info!

Tu uns einen Gefallen und verzichte auf weitere Postings, bis Du bereit bist, originalen Code zu posten. Auf künstlich falsche Beispiele hat niemand hier Bock!