SQL-Injektion Schutz auch bei Prepared Statements?

[ChrisB]

Hi,

Ich weiß schon, dass eingeschaltetes MAGIC QUOTES zu einem Escapen führt und stripslashes das wieder rückgängig macht.

Gut.

Wenn jetzt MAGIC QUOTES eingeschaltet _wäre_ (das habe ich abgedreht) und ich _nicht_ ein

if (get_magic_quotes_gpc()) { $_POST = array_map( 'stripslashes', $_POST ); }

verwende, was kann dann passieren?

Es passiert genau das, von dem du oben sagst, dass du wüsstest, dass es passiert.

Ich bin jetzt _sehr_ verwirrt, weil ich so oft gelesen habe, ich brauche mir bei Verwendung von mysqli und Preparede Statements keine weiteren Sorgen machen!?

Wenn du die Daten in der gewünschten/korrekten Form vorliegen hast, nicht.

Wenn magic_quotes_gpc on ist, hast du das aber nicht - dann hast du *verfälschte* Daten, und die wirst du so nicht in deine DB eintragen wollen.

MfG ChrisB