' und mysql
-
Hallo Leute!
Wenn der User ein ' eingibt, dann gibt es eine Fehlermeldung:
Denn wir schreiben immer
insert into ... values ( 'title' ...und wenn jetzt $name ein ' beinhaltet, dann gibts nen Fehler - logisch:
'hal'lo' ist ja syntaktisch nicht korrekt!doch wie löst man das problem am besten??
ich habe schon 'mysql_escape_string' probiert - aber das ist zu lahm
-
entweder du ersetzt eben selber alle ' durch \' oder du umschließt die Strings mit " anstatt '. Dann darf allerdings kein " im String enthalten sein bzw. es muss als \" umschrieben werden
[ Dieser Beitrag wurde am 30.04.2003 um 15:49 Uhr von flenders editiert. ]
-
man kann doch den string auch durch htmlspecialchars jagen
:p 
-
Das ersetzt aber noch mehr als erforderlich und vielleicht auch erwünscht!
ein einfaches str_replace tut es hier doch auch schon
-
problem:
ich kann nicht auf alle $name ein str_replace machen - das ist technisch nicht gut möglich (ca. 9MB quellcode)kann ich das problem anders lösen? zB mit magic quotes oder so etwas?
-
Sind den auch " in $name enthalten?
-
Verbiete doch einfach die Eingabe des Zeichens. Ok, wahrscheinlich machst du das schon und willst nur wissen wie am besten und wie am schnellsten. Hab die funktion replace(str, from, to); gefunden, aba die bringt dir wahrscheinlich au nix. Hmmmm... fällt grad au nix anderes mehr ein, als das, was schon gepostet wurde...
MfGTobsen
-
in $name kann ALLES stehen - zB ganze Artikel oder Dokumentationen!
das Zeichen ' generell zu verbieten wäre mit großem aufwand möglich...
kennt ihr echt keine bessere alternative?
den query string ansich zu modifizieren ist leicht - da ich dies zentral machen kann. gibts vielleicht einen hack wie ich aus
"insert into foo (name, title) values ('hugo', 'hugo's test')"
ein
"insert into foo (name, title) values ('hugo', 'hugo\'s test')"
machen kann?(nicht vergessen, es geht hier nicht nur im inserts, sondern auch um updates, selects, etc.)
-
Wenn der Befehl schon zusammengesetzt ist, geht das natürlich nicht mehr so einfach! Aber kannst du nicht einfach die einzelnen Inhalte durch ein str_replace schicken?
-
kann man die daten nicht direkt eingeben ohne sie durch den sql parser zu schicken
also funktions aufrufe
z.b. c++insert_into("foo").row("name").row("title").values(name).values(title);
-
ne, ihr versteht nicht ganz
wir haben ca. 9MB!!! bestehenden code, der einfach brutal
sql_query("insert into foo (title) values('$title')");
macht...da kann ich nichts ändern (oder sagen wirs mal so: nicht ohne eine woche lang tag täglich str_replace einzufügen...
naja, dann muss ich wohl ' generell verbieten
-
file);
-
9 MB Code???? Boaah was ist denn das für ein Mega-Programm??
MfGTobsen
-
@Tobsen:
der sourcecode für ne basic ähnliche sprache - so dass der kunde auch ohne HTML/PHP/SQL Kentnisse seine seite ganz leicht selber anpassen kann.
-
Original erstellt von Shade Of Mine:
naja, dann muss ich wohl ' generell verbietenwie kanns du ' generell verbieten? wäre es dan nicht besser es einfach in ein \' umzuwandeln?
