mysql_query nach 3NF regel

[kase]

konto_id	|  inhaber_id
----------------+-----------------------
	57	|	1
----------------+-----------------------
	57	|	7
----------------+-----------------------
	58	|	1
----------------+-----------------------
	62	|	1
----------------+-----------------------
	63	|	1
----------------+-----------------------
	64	|	1
----------------+-----------------------
	58	|	60

ich bekomme jetzt per Formular die konto_id geschickt, nun möchte ich nochmal prüfen ob der Inhaber wirklich Zugang zum Konto hat.

Wie sieht so ein query aus? ich habe beide ID auch in variablen.

Danke,
kase

 

[Divi]

würde es so machen
SELECT COUNT(`id`) as `has_right` FROM `your_table` WHERE `konto_id` = '$k_id' AND `inhaber_id` = '$i_id';
wenn das größer als 0 ist, hat jemand der User das Konto

 

[kase]

mhh, gute idee

 

[Gumbo]

Du solltest alle von außen manipulierbaren Daten noch zusätzlich validieren, bevor du sie in die Verarbeitung einbringst. Denn sonst kann es durch SQL-Injektionen oder Cross-Site Scripting zu bösen Überraschungen kommen.

 

[kase]

und wie meinst du das genau?

 

[birnkammer]

Du solltest Anfragen an den MySQL-Server, der Daten die "von Aussen" kommen benützt, immer mit mysql_real_escape_string() vor Datenmanipultion schützen

 

[kase]

also einfach  
$variable = mysqli_real_escape_string($_POST[id]);

Vielen Dank für den Tipp

 

[kase]

mhh was soll da passieren? Habe es wie im meinem vorherigen Code eingebaut, aber der filtern da nicht viel (glaube ich)

Ich habe das 'i' raus gemacht weil ich nicht weiß was ein mysqli_query sein soll, aus der erklärung von php.net werde ich nicht schlau.

Was muss ich eigentlich alles filtern?
-mysqli_real_escape_string
- htmlspecialchars


das wars oder?

 

[birnkammer]

mysql(i)_real_escape_string maskiert folgende Zeichen:
NULL, \x00, \n, \r, \, ', " und \x1a
http://de.php.net/mysql_real_escape_string
http://de.php.net/mysqli_real_escape_string
Also zur sicheren Verwendung in SQL-Abfragen.

htmlspecialchars() dagegen ersetzt die HTML-eigene Zeichen (&, ", ', < und >) durch entsprechende Zeichenreferenzen.

 

[kase]

Ich habe mir gedacht ich mache ein funktion mir der ich dann alle sachen mache

also:

-mysql_real_escape_string
und
-htmlspecialchars

gibt es noch mehr sicherheitsfunktionen?