[php] html > mysql wie richtig slashen/escapen etc.?

[Lutz Zetzsche]

Hi Henning,

Lutz Zetzsche schrieb:
> Am Donnerstag, 17. Februar 2005 02:25 schrieb Henning Heil:
>> mysql_real_escape_string(htmlentities(htmlspecialchars($einstring)))

das hatte ich auch noch erklären wollen, habe es aber bei den ganzen
Gedanken in 25 Minuten Mailschreiben vergessen... ;-)

Was passiert hier, bei obiger Befehlskette?

Beispiel - Doppelte Anführungsstriche um ein Ü:

1. $sString = "Ü"
2. Nach htmlspecialchars($sString):
   $sString = "Ü"
3. Nach htmlentities($sString):
   $sString = "Ü"

Punkt 2. maskiert also nur das " zu " und drittens maskiert dann
sowohl das Ü als auch das & in ", d.h. die Maskierung wird maskiert
und kommt dann später bei der Ausgabe auf der HTML-Seite auch zur Anzeige:

   -> Im Quelltext: "Ü"
   -> Auf dem Bildschirm: "Ü"


Viele Grüße

Lutz