kein stress, es eilt ja nicht ;-)
du hast recht, das wär schon ein sehr seltsamer angriff... mir ging es aber mehr um die db-version und den zeichensatz, eigentlich ist mysql_real_escape_string schon empfohlen...
und ich hab mal gekuckt, contao hat eine methode, ich glaub 'escapeParams', zum escapen, aber die ist protected und benutzt (bei mysql) auch mysql_real_escape_string, kann ich also auch nicht wirklich benutzen...
gute idee mit "mysql_connect davor und danach ein mysql_disconnect", aber da wäre ich ein wenig besorgt um die performance, weil das wird ja bei jedem feld gemacht! eigentlich ist mysql_real_escape_string auch schon zu heavy an dieser stelle und ziemlich viele leute haben probleme mit scriptlaufzeiten und memorylimits u.ä., hmmm vielleicht ist addcslashes allgemein gar keine schlechte idee...
du hast recht, das wär schon ein sehr seltsamer angriff... mir ging es aber mehr um die db-version und den zeichensatz, eigentlich ist mysql_real_escape_string schon empfohlen...
und ich hab mal gekuckt, contao hat eine methode, ich glaub 'escapeParams', zum escapen, aber die ist protected und benutzt (bei mysql) auch mysql_real_escape_string, kann ich also auch nicht wirklich benutzen...
gute idee mit "mysql_connect davor und danach ein mysql_disconnect", aber da wäre ich ein wenig besorgt um die performance, weil das wird ja bei jedem feld gemacht! eigentlich ist mysql_real_escape_string auch schon zu heavy an dieser stelle und ziemlich viele leute haben probleme mit scriptlaufzeiten und memorylimits u.ä., hmmm vielleicht ist addcslashes allgemein gar keine schlechte idee...
Kommentar