SQL Injection vorbeugen

[Forumsgast]

hallo,
ich habe nach Internetrecherche und dem Manual alle per POST übermittelten Daten escapet und dann den Typ festgelegt. Ein Beispiel:

$email = mysql_real_escape_string($_POST["email"]);
settype($email, "string"); 

Nun meine Frage: Würde das ausreichen, um sich vor einer SQL Injection zu schützen? Oder muss man noch mehr funktionen drauf "hetzen"?

[Forumsgast]

Mach es dir doch nicht so schwer. Im Prinzip (noch sollte man das machen) musst du prüfen ob magic_quotes on sind, falls ja die bereots gesetzten Escapes mit stripslashes entfernen. Dann im SQL Statement tust die Werte die Strings die mit mysql_real_escape_string absichern und gut ist.

Das mit dem Set Type brauchst du nicht machen, wenn du sowas machen willst dann tu doch die Werte explizit casten.

(string)$_POST['stringVar']; 

[Extremefall]

Ok. Also Mysql_real_escape_string reicht dann, wenn magic_quotes on sind? Danke für die Info

Aber es macht doch keine unterschied, wie man es castet oder?

[Forumsgast]

Also Mysql_real_escape_string reicht dann, wenn magic_quotes on sind?

Nein, magic_quotes on sind zu viel.


Artikel:Kontextwechsel – SELFHTML
Lesen, Verstehen == keine Fragen mehr offen.

[Forumsgast]

Und mysql_real_escape_string liefert _immer_ einen String.

[Extremefall]

Wie muss man sich denn sonst noch mit magic quotes on Schützen? Welche Funktionen helfen da?

[Forumsgast]

Das Thema wurde bereits hinreichend behandelt. Bitte benutze die Forensuche und beachte diesen Thread!

[MOD: Thread geschlossen]