erst escape, dann encode - oder umgekehrte Reihenfolge

hi,

ich bearbeite Formulareingaben und möchte sicherstellen, dass die Daten

a) escaped sind bevor sie in die DB geschrieben werden
b) utf8-encoded sind

Zur Info, escapen mach ich mit mysql_escape_string() und encoden mit utf8_encode() wenn mir mb_detect_encoding() sagt, dass ich Daten bekomme, die nicht utf8-encoded sind.

Ich frage mich gerade welche Reihenfolge da sinnvoll ist - erst escapen, dann encoden oder umgekehrt?

Man sollte grundsätzlich das komplette Projekt auf utf-8 umstellen (Header, DB-Tabellen, Formular, ...). Dann stellt sich diese Frage nicht mehr, weil man ein utf8_encode() dann nicht mehr benötigt.

Statt mysql_escape_string() solltest du übrigens mysql_real_escape_string() verwenden.

Und zusätzlich zum mysql_real_escape_string() würde ich noch strip_tags() empfehlen.

Zitat von pascal007

Und zusätzlich zum mysql_real_escape_string() würde ich noch strip_tags() empfehlen.

Das würde ich nicht tun - im Gegenteil, eher dringend davon abraten.

Zitat von wahsaga

Das würde ich nicht tun - im Gegenteil, eher dringend davon abraten.

Warum?

Weil dann alle vom FCKEditor(nur ein Beispiel) gelieferten Daten kaputt gehen

Zitat von combie

Weil dann alle vom FCKEditor(nur ein Beispiel) gelieferten Daten kaputt gehen

Was heißt "kaputt gehen"?

Zitat von unset

Was heißt "kaputt gehen"?

Der FCKEditor gibt HTML-Code zurück. Mit strip_tags() entfernt man diesen und die komplette Formatierung geht verloren.

Nagut, dann anders rum....

strip_tags() ist eine Datenmanipulierungs Funktion!
Will man immer alle eingegebenen Daten manpulieren? Wohl nein.

Es ist meist klüger die Daten zu validieren und in Abhängigkeit davon ganz und komplett zuzulassen oder abzuweisen.

Oh man, ich Depp. Ich hab die Erwähnung von strip_tags() überlesen und dachte, ihr bezieht euch auf mysql_real_escape …*bin wohl noch vom Mittagessen im Fresskoma ;-)