Verhinderung von Angriffen über ein Formular

[RettNews]

Hallo,

ich mache mir gerade Gedanken darüber wie ich mein Formular zur User Registrierung absichern kann.

Eine MySQL Injection würde ich verhindern, indem ich die Daten mit

htmlentities($str, ENT_QUOTES); 

bearbeitet.

Wenn aber nun eine Eingabe fehlerhaft ist, wird das Formular wieder angezeigt und zwar mit den bereits eingegebenen Daten. Zu diesem Zweck würden die Daten mit

html_entity_decode($str); 

wieder zurück wandeln. Aber nun könnte man ja mit Hilfe von JS Befehlen einen Angriff versuchen oder?

[wahsaga]

Eine MySQL Injection würde ich verhindern, indem ich die Daten mit

htmlentities($str, ENT_QUOTES); 

bearbeitet.

Kompletter Blödsinn.


Das hier lesen & verstehen, damit weißt du erst mal alles, was du bzgl. des Themas unbedingt wissen musst:
Artikel:Kontextwechsel - SELFHTML

[h3ll]

Für SQL-Escaping mysql_real_escape_string() verwenden und für die HTML-Ausgabe htmlspecialchars(). Beides nicht mischen. htmlentities() brauchst du nicht.