Formdaten nicht maskiert bekommen?

[Vinzenz Mai]

Hallo,

» Es ist *immer* sinnvoll, mit der Roheingabe zu arbeiten und Behandlung stets dann vorzunehmen, wenn sie bei einer Ausgabe benötigt wird - und dann die richtige Behandlung anzuwenden.
http://www.php.net/manual/de/security.magicquotes.disabling.php

Dazu sollte sich Tim aber auch über die Folgen bewusst sein, die dies haben kann, wenn er selber keinerlei Maßnahmen ergreift VOR der Weitergabe an nachfolgende Bearbeitungsschritte. Hier ist ja nicht nur die "Ausgabe" von Interesse, sondern speziell die Verwendung dieser Rohdaten z.B. bei Datenbanken, Mailern. Mail-Funktionen, Zugriffen auf Verzeichnisstrukturen und Scripte und ähnlichen weiteren Verarbeitungsschritten.

ja, das sind alles Ausgaben. Die Aufbereitung hat kontextgerecht zu erfolgen. Die Magic Quotes sind nicht in der Lage, dies zu leisten. Für *keinen* der von Dir aufgezählten Zwecke.

Und ja: Genau deswegen ist es eine verdammt gute Idee, die Magic Quotes auszuschalten bzw. ihre Auswirkungen rückgängig zu machen. Und nochmals ja: jeder dieser Verarbeitungsschritte hat andere Anforderungen. Deswegen ist es so wichtig, immer und überall mit den Rohdaten zu arbeiten und stets genau die Behandlung zu verwenden, die der aktuellen Aufgabe angemessen ist. Bei Verschachtelung von Kontexten (z.B. Javascript-Kontext in einem HTML-Kontext) erfolgt die Behandlung zwiebelschalenartig von innen nach außen.

Freundliche Grüße

Vinzenz