Variablen unter Sicherheitsaspekten prüfen und Freiheiten lassen

[dedlfix]

echo $begrüßung;

[...] potentielle Sicherheitslücken (SQL Injection, Javascript Entries, Formmailmissbrauch usw.) Gibt es da eine Möglichkeit, alles Unsichere rauszunehmen? Funktionen? Handarbeit mit regulären Ausdrücken?

Wie du sicher schon bemerkt hast, kommt man bei der Prüfung auf zulässige Werte schnell vom Hundertsten ins Tausendste und hat dann immer noch die Hälfte vergessen. Solche Prüfungen sind nicht verkehrt, aber wichtiger ist es, die Daten gemäß dem Kontext zu kodieren, in den du sie einzufügen gedenkst. "Unsicherheiten" entstehen in Kontexten, bei denen Anweisungen und Daten gemischt übertragen werden. Es gibt aber zu jedem (etablierten) Kontext spezielle Maskierungsregeln, die den Zeichen in den Daten die Bedeutung als Anweisungsbestandteil nehmen. Für HTML sind beispielsweise die Zeichen <>& und auch "' als &lt; &gt; usw. zu kodieren, für URLs gibt es Regeln, SQL-Statements haben auch welche. PHP bietet für die häufigsten im Webumfeld vorkommenden Kontexte Funktionen an, die sich das ordnungsgemäße Maskieren vornehmen. htmlspecialchars() für HTML, urlencode für URLs, mysql_real_escape_string() für MySQL-Statements und so weiter.

Mit kontextgerechter Maskierung kannst du zwar die Eingabe von unsinnigen Daten nicht verhindern, aber du verhinderst damit die möglicherweise damit beabsichtigte Schädigung des Systems.

echo "$verabschiedung $name";