PHP - aber sicher

[dedlfix]

echo $begrüßung;

Ich nehme dafür eine Stelle vor bzw. am Beginn des Abschnitts, in dem die entsprechende Maskierung notwendig ist.

Das heißt, du legst extra eine neue Variable an, mit dem geänderten Wert, auf die du dann (in den vermutlich meisten Fällen) nur einmal zugreifst?

$var1_esc = escape($var1);

(alle Beispiele in Pseudocode)

Oder änderst du die bestehende Variable, so dass deren Inhalt für andere Zwecke quasi wertlos geworden ist (nicht immer gibt es eine eindeutige Umkehrfunktion)?

$var1 = escape($var1);

Mein Ansatz wäre (in etwa) "dezentral zentral". Alles zu seiner Zeit (dezentral), dann aber gleich alle betroffenen Variablen (zentral).

Also im Prinzip so, und von der zweiten der obigen Variante ausgehend:

$table = escape($table);
  $var1 = escape($var1);
  $var2 = escape($var2);
  $var3 = escape($var3);
  $var4 = escape($var4);

...

$sql = "INSERT INTO $table (col1,col2,col3,col4,eingefügt) VALUES " .
         "($var1,$var2,$var3,$var4,$vergessen)";

Auch bei dieser Vorgehensweise muss man sich (unnötigerweise) merken, dass eine Bearbeitung bereits stattgefunden hat, auch wenn das nur wenige Zeilen weiter oben geschieht. Und vor allem muss man es auch sicherstellen. Was ist, wenn du "unten" etwas ergänzen willst, und im Eifer des Gefechts vergisst, "oben" die Bearbeitung einzufügen? Ist es nicht wesentlich auffälliger, wenn stattdessen bei einer Anzahl von mit Escape-Funktionen eingefügten Variablen plötzlich eine solo dasteht?

$sql = sprintf("INSERT INTO %s (col1,col2,col3,col4,eingefügt) VALUES (%s,%s,%s,%s,%s)",
    escape($table),
    escape($var1),
    escape($var2),
    escape($var3),
    escape($var4),
    $vergessen);

echo "$verabschiedung $name";