nicht angemeldet
Hallo,
@...Mauser: Ein 'UPDATE tabelle SET Name='Philipp's world'" führt meistens zu
Datenverlust!
Bei machen Systemen kann man auch Statements verknüpfen, und dann wird bei einfacher Variablensubstitution aus
"UPDATE TABELLE SET SPALTE ='$wasauchimmer'"
plötzlich beispielsweise
"UPDATE TABELLE SET SPALTE ='XY'; DELETE FROM TABELLE WHERE SPALTE <> ''"
wenn in $wasauchimmer "XY'; DELETE FROM TABELLE WHERE SPALTE <> '" steht.
Ziemlich fatal oder?
Eingaben sollten immer auf gefährlichen Code geprüft werden bzw. Metazeichen wie ' immer dem DBMS entsprechend maskiert werden. Für zweiteres stllen viel DB-Schnittstellen in den Programmiersprachen sog. Quoting-Funktionen zur Verfügung.
Grüße
Klaus