real_escape oder prepared statements

[lalaland]

Hi,
Was benutzt ihr um Injektion zu verhindern? Sind beide Methoden gleichwertig bei der verhinderung von Injektions?
Mfg Lalaland

[streuner]

Die beiden links machen es Dir klarer:

PHP: SQL Injection - Manual

und

PHP: Prepared Statements und Stored Procedures - Manual

mfg streuner

[lalaland]

Ich seh schon beide Wege führen nach Rom. Dann bleib ich beiprepared statements ist auch besser für die performace falls es zu komplexeren Anweisungen kommt.
Danke Streuner
Mfg Lalaland

[eagle275]

vorher noch das "Gemüse" artgerecht sortieren ..

bei Datenbank-Methoden, die prepared Statements bereitstellen, hast du im Regelfall kein escape_string mehr . das existiert in der Form sowieso nur für die mysql-Erweiterung und heißt demzufolge auch mysql_real_escape_string() ...

alle moderneren Datenbank-Methoden stellen prepared Statements bereit, die dann bis auf Ausnahmen das Mittel der Wahl darstellen