Gästebuch - Mehrere Fragen

[funnyxXD]

Wie kann ich mein Gästebuch vor z.B. solchen Scripten schützen:

<script>document.location='http://funnyxxd.fu.funpic.de/gaestebuch/gaestebuch.php' +document.cookie</script>

Habe schon "mysql_real_escape_string" drin.

Hab damit auch noch nicht soviel Erfahrung

Nächste Frage: Wenn man einen Eintrag schreibt und man extra einen Zeilenumbruch einfügt, wie kann ich denn mit ausgeben, im Moment sieht es eher so aus:

User gibt das ein: "Hallo
du
da"

Aber es kommt das Raus: "Halloduda"

Kann mir da wer helfen?

[MelloPie]

erstens Du kannst ein striptags() machen oder mit nem regulären Ausdruck ersetzen...

zu zweitens nl2br()könnte helfen

[TobiaZ]

Eingabe: mysql_real_escape_string hast du ja schon.
Ausgabe: htmlspecialchars brauchst du noch.

Das wars!

[funnyxXD]

Hey Danke, dass mit den strip_tags funktioneirt super. Danke Da freut sich mein junges Herz xP

Nun zu dem nl2br(); und den htmlspecialchars(); muss ich die bei der Eingabe (Also vor dem Speichern in die Datenbank) benutzen oder beim Ausgeben der Einträge?

Wenn beim Ausgeben...wie habe ich das zu machen?

while($row = mysql_fetch_object($ergebnis_eintraege_ausgeben))
	{
		echo "<b>Eintrag Nr.$row->id</b> <br>Geschrieben von: $row->name ( <a href=mailto:\"$row->email\">$row->email</a> ) am $row->datum <br><br> $row->kommentar <br><br>";
	}

[TobiaZ]

Nun zu dem nl2br(); und den htmlspecialchars(); muss ich die bei der Eingabe (Also vor dem Speichern in die Datenbank) benutzen oder beim Ausgeben der Einträge?

Ausgabe: htmlspecialchars brauchst du noch.

Wer lesen kann, ist klar im Vorteil!

selbiges gilt natürlich auch für nl2br.

Wenn beim Ausgeben...wie habe ich das zu machen?

Sei doch mal ein bisschen kreativ! Das sind nämlich Grundlagen. Und wenn du ne Funktion beim Eingeben anwenden kannst, wirst du das wohl auch beim Ausgeben richtig hinbekommen.

[stekoe2000]

Jetzt mal ne Frage in eigener Sache: Es wird andauernd gesagt, Werte und HTML sollen einfach in die DB geschrieben werden und erst beim ausgeben mit htmlspecialchars() behandelt werden.

Warum? Warum nicht direkt umwandeln? :/ Und bitte nicht schlagen, wenn es eine blöde Frage sein sollte

[h3ll]

Vielleicht möchtest du die Daten ja mal woanders verwenden (Excel Export, RSS Feed, PDF Generierung, Mail-Versand, etc.) und dann kannst den ganzen Mist wieder zurückwandeln und deinen kompletten Programmcode umschreiben. Außerdem tust dir bei der Textsuche unnötig schwer.