hjælp mod SQL Injections?

Brug mysqli (eller PDO) og prepared statement.

http://us.php.net/manual/en/mysqli.prepare.php

http://us.php.net/manual/en/pdo.prepare.php

http://jesperkampmann.com/prevent-sql-injection.html

Gratis PHP eksempler som erm eget nemmere end mysqli osv

Man kan ogsaa faa gratis raad om at bruge prepared statements.

Det er meget daarligt kode stil at escape alle $_POST, da man jo kunne skulle bruge dem til andet end (MySQL) SQL saetninger.

Brug af mysql_real_escape_string alle steder med dynamisk SQL er:
* gammeldags
* mere ulaeselig kode
* har et kendt hul i applikationer som skifter mellem single byte character set og multi byte character set

Hvis man er paa PHP 5 boer man bruge mysqli eller PDO eller Pear MDB (som alle understoetter prepared statement).

arne :)?, jeg fandt dit link mest brugbart. vil du lige smide et svar ?

svar