nicht angemeldet
Hello,
Du hast es anscheinend immer noch nicht verstanden. Es ist kein Verhalten einer Funktion (mysql_real_escape_string) sondern ein Feature, das vor dem Scriptstart zuschlägt. Wegen seiner Nebenwirkungen und Fehlplatzierung ist es ja auch auf der Abschussliste. Allerdings tut es seine Funktion bei Anfängern, die noch nicht für SQL-Injection-Probleme sensibilisiert sind und in einfach(st)en Scripten.
Es hilft nicht nur gegen SQL-Injection ein bisschen, sondern auch ein bisschen gegen Mail-Header-Injection und ein bisschen gegen XXS-Angriffe und ein bisschen gegen ...
Also immer nur ein bisschen.
Das ist das Problem! Es bleiben immer Lücken und die Stringbehandlung passt auch nie wirklich genau zur Aufgabe. Aber das weißt Du ja :-)
Liebe Grüße aus dem schönen Oberharz
Tom vom Berg
Auge