Hallo

Ich muss per PHP Links in der Datenbank updaten können.

Wie erreiche ich, dass die Hochkommas nicht mehr stören und der SQL-Befehl
funktioniert trotz Textstellen wie untenstehend?

<a href='unterstuetzen_spenden.php?id=4' class='blau'>

Danke vielmals.

Freundliche Grüsse
Marianne Rüeger




--
Posted via a free Usenet account from http://www.teranews.com

..oO(Marianne Rüeger)

>Ich muss per PHP Links in der Datenbank updaten können.
>
>Wie erreiche ich, dass die Hochkommas nicht mehr stören und der SQL-Befehl
>funktioniert trotz Textstellen wie untenstehend?
>
><a href='unterstuetzen_spenden.php?id=4' class='blau'>

Indem Du die Sicherheitslücke in Deinem Script schließt.

Für jede Datenbank existieren Funktionen, um bestimmte Zeichen in den
Strings zu maskieren, für MySQL z.B. mysql_real_escape_string(). Eine
andere Möglichkeit ist die Verwendung von parametrisierten Anfragen
(prepared statements), wie sie die PDO-Erweiterung bereitstellt. Details
dazu im Handbuch.

Wird diese Maskierung unterlassen, dann führen Strings wie oben nicht
nur zu Fehlern beim Einfügen, sondern reißen obendrein ein Scheunentor
auf für SQL-Injection.

Micha

Marianne Rüeger schrieb:
>
> Wie erreiche ich, dass die Hochkommas nicht mehr stören und der SQL-Befehl
> funktioniert trotz Textstellen wie untenstehend?
>
> <a href='unterstuetzen_spenden.php?id=4' class='blau'>

addslashes(...);

Peter

..oO(Peter Schleif)

>Marianne Rüeger schrieb:
>>
>> Wie erreiche ich, dass die Hochkommas nicht mehr stören und der SQL-Befehl
>> funktioniert trotz Textstellen wie untenstehend?
>>
>> <a href='unterstuetzen_spenden.php?id=4' class='blau'>
>
>addslashes(...);

Nö. Reicht nich.

Micha

Peter Schleif schrieb:
> Marianne Rüeger schrieb:
>>
>> Wie erreiche ich, dass die Hochkommas nicht mehr stören und der
>> SQL-Befehl
>> funktioniert trotz Textstellen wie untenstehend?
>>
>> <a href=3D'unterstuetzen_spenden.php?id=3D4' class=3D'blau'>
>
> addslashes(...);

Warum sollte man das tun? Damit man stripslashes anwenden muss nach dem
auslesen? Im falle von Mysql gibt es mysql_real_escape_strings wie schon =

erwaehnt.

Gruss
Joerg

--
TakeNet GmbH, Geschaeftsfuehrer Wolfgang Meier
97080 Wuerzburg Tel: +49 931 903-2243
Alfred-Nobel-Straße 20 Fax: +49 931 903-3025
HRB Wuerzburg 6940 http://www.takenet.de

Vielen Dank.

Gruss,
Marianne



--
Posted via a free Usenet account from http://www.teranews.com