Sicherheit testen

[Sven Rautenberg]

Moin!

Die Frage die sich mir jetzt stellt ist wie kann ich meine DB testen bzw. wie über mittel ich den SQLcode per URL?

Gar nicht am besten. SQL gehört einfach nicht in die URL. Da kann man viel zuviel Blödsinn mit machen!

Üblichwerweise willst du ja einen von mehreren _definierten_ Aktionen auslösen. Verwende also entsprechend nur _definierte_ Aktionsschlüsselwörter in der URL:

?action=warenkorb
?action=neuprodukt
?action=prodloesch
?action=bestellen

Nur diese _definierten_ Aktionen dürfen in deinem Shop möglich sein. Und jede Aktion ist mit einem _fest definierten_ SQL-String verbunden, der in diesem Fall aufgerufen wird.

Dieser String wird sicherlich durch Angaben des Besuchers ergänzt. Beispielsweise muß ja irgendwie bekannt gemacht werden, welches und wieviel von einem Produkt er haben möchte. Diese Userangaben sind aber zwingend zu _validieren_. Wenn eine Produktanzahl anzugeben ist, dürfen in den übermittelten Daten eben nur Zahlen stehen, möglicherweise sogar nur Zahlen zwischen 0 und 999 (wer will schon eine Million Seifenstücke bestellen?).

Siehe dazu auch (auch für nicht-PHP-Verwender interessant):
http://www.dclp-faq.de/q/q-sicherheit-parameter.html
http://www.dclp-faq.de/q/q-security-variablen.html

- Sven Rautenberg