Injections vermeiden (Apostroph entfernen)

[Truncate]

Hallo,

reicht es aus Injections zu vermeiden, wenn man den Apostroph ' sowie Backslash \ aus dem in die DB zu schreibenden Inhalt entfernt?

[Hopka]

Nein.

[Truncate]

Why not?

[jahlives]

Why not?

Weil es dazu mysql_real_escape_string() gibt.

[Truncate]

Naja toll dann hab ich alle komischen Zeichen auch noch mit nem Backslash davor...

[tontechniker]

Naja toll dann hab ich alle komischen Zeichen auch noch mit nem Backslash davor...

... was durchaus Sinn macht. Die Daten kommen doch sowieso ohne Slash wieder raus ...

[Truncate]

Ja aber doch nur wenn man jede Ausgabe wieder mit strip_slashes() versieht...

[tontechniker]

Quatsch, die Informationen werden bei sinnvoller Anwendung ohne Slashes in der Datenbank gespeichert (kann natürlich sein das du zusätzlich noch maqic_quotes eingeschaltet hast).

[Truncate]

Original geschrieben von tontechniker
Quatsch, die Informationen werden bei sinnvoller Anwendung ohne Slashes in der Datenbank gespeichert (kann natürlich sein das du zusätzlich noch maqic_quotes eingeschaltet hast).

Es wird also nur kurzfristig geschützt und dann normal in die DB eingetragen?

[tontechniker]

Es wird also nur kurzfristig geschützt und dann normal in die DB eingetragen?

Sagen wirs mal so: Der SQL Parser ignoriert die evtl. in den Strings vorhandenen Tokens. Wenn du etwas mit PHP ausgibst werden die Slashes ja auch nicht ausgegeben:

echo '\\ ';