nicht angemeldet
Hallo,
eigentlich sollte mysql_real_escape_string() alles abfangen, was zum kompromitieren der DB selbst über sql injections tauglich wäre.
php-code in der übergabe - wen kümmert's? wenn du nicht nachher irgendeinen unfug in der form eval($datenbankinhalt) machst, sollte dich das doch recht wenig interessieren müssen ...
Hm. Nein. Traue niemandem. Validiere allen Input oder stirb.
Bsp.:
----------------------------------------------------
<input type="text" name="var"
value="<?php echo $_REQUEST['var']; ?>"/>
----------------------------------------------------
Jetz gebe ich in das Textfeld ein:
"/><script>while(true){}</script>
http://www.dclp-faq.de/q/q-formular-text.html
http://www.dclp-faq.de/q/q-formular-verarbeitung.html
http://www.dclp-faq.de/ch/ch-security.html
viele Grüße
Axel