user eingaben sicher machen

[mcmurphy]

Hi,
wäre diese Funktion

function makeSave($usereingabe){    
     if(get_magic_quotes_gpc()) {
         $usereingabe = stripslashes($usereingabe);
     }  
     $usereingabe = htmlentities($usereingabe);
     $usereingabe= mysql_real_escape_string($usereingabe);
     return $usereingabe;
} 

nicht sinnvoll um User eingaben von Formular Feldern abzusichern oder handle ich mir damit Probleme ein?

Bzw. habe ich den Sinn der PHP Funktion offensichtlich
verstanden [ ]
nicht verstanden [ ]

lg,
McM

[unset]

Die Funktion macht nichts anderes, als einen String so zu escapen, dass er problemlos als Inhalt eines MySQL-Queries benutzt werden kann.

Um Benutzereingaben sicher zu machen solltest du vom Konzept weg, bestimmte Dinge zu verbieten, sondern ausschließlich das zulassen, was du willst (weg vom Blacklisting, hin zum Whitelisting). Darüberhinaus ist PHPIDS da sehr nett.

[mcmurphy]

einen String so zu escapen, dass er problemlos als Inhalt eines MySQL-Queries

thx - hilft mir schon mal weiter...
und PHPIDS werde ich mir mal zu Gemüte tun

[Cheadle]

Die Zeile

$usereingabe = htmlentities($usereingabe); 

ist abgesehen von einigen wenigen Ausnahmen nicht sinnvoll, da die ursprüngliche Eingabe dadurch verändert wird. htmlspecialchars() bzw. htmlentities() sollten generell nur bei der Ausgabe angewendet werden.