Verhinderung von Angriffen über ein Formular

Hallo,

ich mache mir gerade Gedanken darüber wie ich mein Formular zur User Registrierung absichern kann.

Eine MySQL Injection würde ich verhindern, indem ich die Daten mit

PHP-Code:

htmlentities($str, ENT_QUOTES); 


bearbeitet.

Wenn aber nun eine Eingabe fehlerhaft ist, wird das Formular wieder angezeigt und zwar mit den bereits eingegebenen Daten. Zu diesem Zweck würden die Daten mit

PHP-Code:

html_entity_decode($str); 


wieder zurück wandeln. Aber nun könnte man ja mit Hilfe von JS Befehlen einen Angriff versuchen oder?

Zitat von RettNews

Eine MySQL Injection würde ich verhindern, indem ich die Daten mit

PHP-Code:

htmlentities($str, ENT_QUOTES); 


bearbeitet.

Kompletter Blödsinn.


Das hier lesen & verstehen, damit weißt du erst mal alles, was du bzgl. des Themas unbedingt wissen musst:
Artikel:Kontextwechsel - SELFHTML

Für SQL-Escaping mysql_real_escape_string() verwenden und für die HTML-Ausgabe htmlspecialchars(). Beides nicht mischen. htmlentities() brauchst du nicht.