Sicherheit

[antman]

Wie kann man vermeiden, dass der Benutzer in einem Formular keine SQL eingibt?

Bzw nicht vermeiden sondern, die Query in einen Text umwandeln.

[wahsaga]

Re: Sicherheit

Original geschrieben von antman
Wie kann man vermeiden, dass der Benutzer in einem Formular keine SQL eingibt?

Vielleicht indem man ihm unter Androhung von Strafen vorschreibt, dass er SQL eingeben muss ...?

Bzw nicht vermeiden sondern, die Query in einen Text umwandeln.

Eine Formulareingabe ist Text.


Aber vermutlich bist du mal wieder nicht in der Lage, deine Frage präzise zu formulieren - möchtest dich aber mit http://www.php.net/manual/de/security.database.php beschäftigen.

[jahlives]

Wie kann man vermeiden, dass der Benutzer in einem Formular keine SQL eingibt?

Indem du die Form Eingabe vllt prüfst. NEVER TRUST INCOMING DATA

Gruss

tobi

[antman]

Danke für das Link.

Noch eine letzte Frage:

Warum kann ich irgendeinen Müll im Feld Preis eingeben und php meint es sei eine Zahl:

 $preis = str_replace(",", ".", $_POST['preis']);
 if(!is_numeric($preis)) {
     echo "Bitte geben Sie einen gültigen Preis ein.";
        } else {     
            $preis = sprintf("%01.2f", $preis); 

[jahlives]

Ich würde mal stark vermuten, dass is_nummeric() im String Falle eine Typen Konvertierung vornimmt.
Da kommt bei einem String wohl 0 bei raus und das ist ne Zahl.
Aber wie gesagt ist ne Vermutung...

Gruss

tobi

EDIT:

---

Gib mal ein Bsp von Müll den die Fkt als Zahl ansieht

---