Sönke Tesch: Sichere Formularverarbeitung

Beitrag lesen

Nun macht ja PHP für mich schon die Arbeit mit addslashes(), weil magic_quotes_gpc=on sind (war das der richtige Schalter?)

magic_quotes ist für Stümper ;)

Reicht das für den Uploead von Bildern (binary Data) in Blobs auch, die vorher durch mysql_escape_string() zu schicken? Bitte nimm das mit den Bildern jetzt nicht wörtlich...

Unter http://www.dclp-faq.de/q/q-mysql-blob.html steht (verlinkt) wie man es machen soll, also mit addslashes. Ich vermute das mysql_escape_string ausreicht, das mußt Du versuchen.

mysql_escape_string() ist prinzipiell in jedem Falle besser als addslashes(), weil diese Funktion von MySQL allerhöchstselbst zur Verfügung gestellt wird. Originale sind Kopien in der Regel vorzuziehen.
Das ändert allerdings nichts daran, daß beide Funktionen in der Praxis möglicherweise dasselbe veranstalten.

Entweder Du verwendest magic-quotes-runtime, wodurch die aus einer Datei ausgelesenen Daten direkt escaped

Als überzeugter magic_quotes-Hasser kann ich davon nur abraten. Ich habe -wie oben angedeutet- lieber das Original als eine in vorauseilender Vorsicht verpfuschte Kopie.

Gruß,
  soenk.e