Formulareingaben

[Spider315]

Hi,

kurze Frage in die Runde - ich möchte mich gegen 'ungewollte' Formulareingaben absichern und benutze

$eingabe = strip_tags($eingabe);

Ist das ausreichend oder haltet Ihr da andere ( zusätzliche )
Prüfungen/Filter für notwendig?

Merci

[Kropff]

wenn in deiner php.ini magic_quotes_gpc auf off gestellt ist, solltest du noch addslashes einbauen, um sql-injections zu verhindern.

gruß
peter

[wahsaga]

@Kropff: Von dir würde ich langsam etwas mehr erwarten, als hier wieder mal unsinnigerweise addslashes zu empfehlen!
Falls magic_quotes_gpc aktiviert ist, sollten die Daten eigentlich erst mal mittels stripslashes davon befreit werden.
Und gegen SQL-Injections o.ä. sichert man sich dann mit den dafür zuständigen Funktionen ab, in dem Moment wo man es benötigt.


Btw: *verschieb*, da kein clientseitiges Problem.

[Kropff]

????
wenn magic_quotes auf off ist, kann man logins überlisten (where 1 = 1) richtig?
und stripslashes sollte man imho erst bei der darstellung der inhalte einsetzen, sonst gibts bei eingaben in die db probleme. richtig?

peter

[wahsaga]

Original geschrieben von Kropff
wenn magic_quotes auf off ist, kann man logins überlisten (where 1 = 1) richtig?

Nein, (eher) falsch.
SQL Injections werden möglich, wenn Übergabeparameter für die DB nicht ausreichend abgesichert werden. Dafür gibt es passende Funktionen, wie bspw. mysql_real_escape_string() für MySQL.
magic_quotes_gpc ist lediglich ein halbtauglicher "Schutz" allzu sorg- oder ahnungsloser Drauflosprogrammierer vor sich selbst (ja, es bewirkt weitgehend(!) das gleiche und automatisch - aber sich auf so etwas zu verlassen hat mit ernsthaftem und sicherheitsbewusstem Programmieren nicht mehr viel zu tun ...).

und stripslashes sollte man imho erst bei der darstellung der inhalte einsetzen, sonst gibts bei eingaben in die db probleme. richtig?

Nein, falsch.

Aber dazu jetzt nichts weiteres mehr von mir, das Thema haben wir bereits mehrmals in aller epischen Breite durchdiskutiert.