nicht angemeldet
hi,
danke für die korrektur.
Das isset und der Jahresvergleich müssen zwei selbständige Vergleiche sein, deren Ergebnisse logisch verknüpft werden.
Stimmt, wenn man es genau haben will, sollte man es auch genau prüfen. Mein Ansatz war nur ein denkanstoss für den OP.
Das wird schnell unübersichtlich, wenn man ein Statement umfangreich zusammenstückelt und das in einem Einzeiler notiert.
Wenn es ein sehr grosses Statement ist, sicher, aber wenn man nur ein oder zwei unterabfragen dieser art hat, finde ich, kann man damit ganz gut leben.
Hier spreche ich aber ausschliesslich für mich, der sich erst seit knapp einem halben Jahr mit dieser Thematik beschäftigt.
Das muss man mit jeglichen (String-)Werten machen, nicht nur mit denen aus dem $_POST-Array. Ausnahmen sind nur hart kodierte Strings, die keiner Beeinflussbarkeit unterliegen.
Auch jegliche Variablen, die ich im Code beispielsweise selbst notiere?
Beispielsweise:
$Val = "O'Reilly";
"SELECT
name
FROM
verlag
WHERE
name = '" . $Val . "'
";
Müsste ich hier $Val auch escapen?
Wenn ich mir dieses Beispiel so ansehe, gehe ich mal stark davon aus.
Kann man machen, ist aber hier ein nicht unbedingt notwendiger Schritt, denn es geht nur um eine Abfrage.
War auch nur ein Vorschlag am rande ;)
mfg
echo '<pre>'; var_dump($Malcolm_Beck`s); echo '</pre>';
array(2) {
["SELFCODE"]=>
string(74) "ie:( fl:) br:> va:? ls:? fo:) rl:| n4:# ss:{ de:? js:} ch:? sh:( mo:? zu:("
["Aight"]=>
string(?) "I Have a Dream"
}