✔ Function does not exist

[Asix]

Abend,

ich arbeite gerade an einem Gästebuch und will dieses jetzt u.a. via mysql_real_escape_string() absichern.

Mein Query um die Daten in die Datenbank einzufügen sieht momentan so aus:

$sql = "INSERT INTO guestbook (Name, Email, Nachricht) VALUES (mysql_real_escape_string($Name), '$Email', '$Nachricht')";

Wenn jetzt das Script ausgeführt wird erscheint foldender Fehler:

FUNCTION guestbook.mysql_real_escape_string does not exist

Wobei geustbook mein Tabellennamen ist.
Warum kommt es zu diesem Fehler?

Hoffe ihr könnt mir helfen.

Gruß Asix

 

[queicherius]

mysql_real_escape_string ist eine PHP-Funktion:

$sql = "INSERT INTO `guestbook` (`Name`, `Email`, `Nachricht`) VALUES ('".mysql_real_escape_string($Name)".', '$Email', '$Nachricht')";

 

[Asix]

WOW Danke das war ja mal richtig fix

Allerdings wird bei deiner Version folgender Fehler ausgegeben:

Parse error: syntax error, unexpected '"' in C:\xampp\htdocs\Guestbook\guestbook.php  on line 43

Wenn ich das jetzt richtig verstanden habe wird die Funktion als Teilstring angehängt oder?
Wenn dies so ist dann könnte man doch die doppelten Anführungszeichen vor und nach dem String weglassen koder? (Dann funktioniert auch alles)

 

[queicherius]

WOW Danke das war ja mal richtig fix

Hehe

Wenn ich das jetzt richtig verstanden habe wird die Funktion als Teilstring angehängt oder?

Jup, wird als Teilstring angehängt.

So heißt es richtig (hab einen Punkt verschoben -.-):

$sql = "INSERT INTO `guestbook` (`Name`, `Email`, `Nachricht`) VALUES ('".mysql_real_escape_string($Name)."', '$Email', '$Nachricht')";

 

[Asix]

Super, funktioniert!

Wenn ich jetzt alle 3 Variablen damit bearbeite, ist dann ein guter Schutz gegen Injections gegeben?

Gruß

 

[queicherius]

Ja. Was du aber noch machen solltest ist zu schauen, ob $Email wirklich eine Mailaddresse ist. Das kannst du z.B. mit regulären Ausdrücken (einfach mal n).

 

[Asix]

An das bin ich bisher noch nicht herangeangen, weil ich das ganze moderiert aufbauen will. Aus dem einen Grund, weil ich als Webmaster ja für die Einträge verantwortlich bin.
Aber ich werds noch einbauen, danke für den Tip

 

[bofh1337]

Der Ansatz war ja richtig....aber wieso wird nur 1 Var escapt?

 

[queicherius]

Der Ansatz war ja richtig....aber wieso wird nur 1 Var escapt?

Weil man sich den Rest durchaus auch mal selber denken kann, was diese Antwort beweißt:

Wenn ich jetzt alle 3 Variablen damit bearbeite, ist dann ein guter Schutz gegen Injections gegeben?

 

[Asix]

Weil man sich den Rest durchaus auch mal selber denken kann, was diese Antwort beweißt:

Danke

Ich hatte nur eine Escaped weil es ja sowiso einen Fehler gar, jetzt sind natürlich alle 3 escaped.

Gruß