nicht angemeldet
Hi
also ich benutze auch die prepared statements
aber hierzu :
Achte übrigens mal auf Example 6. Das erste ist nicht richtig angewendet, interessiert aber grad nicht. Beim zweiten sind zwar die Jokerzeichen für das LIKE an der richtigen Stelle, es kann sich aber ein ählicher Problemfall wie bei SQL-Injection ergeben. In $_GET[name] können sich vom Anwender eingegebene % und _ befinden, die ebenso vom Server als Jokerzeichen ausgewertet werden. Man kann damit zwar nicht ins SQL-Statement ausbrechen, doch es können sich Suchtreffer ergeben, die vom Programmierer nicht vorgesehen sind. Wenn dies nicht beabsichtigt ist, müssen die % und _ durch die im DBMS üblichen Ersatzschreibweisen ausgetauscht werden.
Beim dem beispiel steht aber extra drüber, dass es sich bei beiden Beispielen um Falschbeispiele handelt...
kann man dann nicht davon ausgehen, dass automatisch % escaped oder umgeschrieben wird.
grüße carsten
Auge