Sicherheit bei SQL Abfrage?

[Maik20]

Hallo zusammen,

ich möchte dem Benutzer die Möglichkeit geben einen bestimmten Datenbestand in einer Tabelle selbst abzufragen. Dazu gibt es im Moment ein Formular wo der Nutzer die Werte nach denen er Filtern möchte angeben kann.

etwa so:
Feld1: < 50
Feld2: > 10

Ich bastele dann daraus:
WHERE Feld1<50 AND Feld2>10

Für "Profis" würde ich gerne eine direkte Erstellung des SQL-Querys zulassen. Dazu habe ich mir gedacht, zeige ich in einer Textbox dem Benutzer den bis jetzt erstellten SQL-Query (nur WHERE) Ausdruck an und der Nutzer kann selbst Klammern setzen und aus dem AND ein OR machen etc.

Dazu habe ich ein paar Fragen.
1.) Stichwort Sicherheit. Wie kann ich Sicherstellen das der Nutzer keinen mißt verzapft?
DELETE * ....

2.) Gibt es vielleicht eine bessere Möglichkeit? Mein Problem ist die Komplexität in den Kombinationen. Da ich bei der SQL Abfrage ja alles mögliche Schachteln kann

WHERE X=2 AND Y=7 OR A>6
WHERE X=2 AND (Y=7 OR A>6)
...

Besten Dank

Maik

 

[ethciF]

Bin auch erst anfänger in php aber da ist irgendwas mit addslashes()

 

[hanswurst23]

Es gibt noch etwas mehr als addslashes. Da hätten wir noch: strip_tags(); htmlspecialchars(); htmlentities(); trim(); stripslashes(); und dann noch mysql_real_escape_string(); wenn noch was fehlt sorry.

Ich glaube das was du vorhast ist sicherheits technisch gesehen sehr fragwürdig. Die ganzen Sicherheits funktionen sollen ja dafür sorgen das keiner blödsinn macht bzw machen kann.

Vielleicht kann dir jemand anderes noch weiter helfen.