[David]

Wenn ich meine "GETs" zuerst mit htmlspecialchars codiere, anschließend auf ausschließlich alphanumerischen Inhalt prüfe und dann noch mal durch eine Whitelist überprüfe, muss ich dann unbedingt noch mysql_real_escape_string anwenden, um sie in einer Datenbankabfrage zu verwenden? Eigentlich doch nicht oder?

[inta]

Htmlspecialchars() ist an dieser Stelle „falsch“, das solltest du nutzen bevor du Werte auf deiner Seite ausgibst, nicht für Werte die du anderweitig weiterverarbeitest.

Solange du nicht mit Mysqli oder PDO arbeitest, solltest du auf mysql_real_escape_string() nicht verzichten, Vorsicht ist besser als Nachsicht.

[kampfgnom]

Machs doch einfach, stört doch nicht

[Gumbo]

Zitat von kampfgnom

Machs doch einfach, stört doch nicht

Wenn die Verfälschung von Daten für dich keine Störung darstellt.

Außerdem sind solche übervorsichtigen Maßnahmen häufig ein Zeichen schierer Unwissenheit. Vorsicht ist zwar besser als Nachsicht. Doch noch besser es, die Unwissenheit durch Wissen zu ersetzen, um eben auch die Ursachen zu ergründen.

[David]

Sprich, ein "escapen" ist dort notwendig, wo ich die Eingaben nicht auf Zahlen und Buchstaben beschränken kann.

Zitat von inta

Htmlspecialchars() ist an dieser Stelle „falsch“, das solltest du nutzen bevor du Werte auf deiner Seite ausgibst,

Klingt einleuchtend.

Noch eine Frage in dem Zusammenhang: während der "Entwicklungsphase" kann es ja sinnvoll sein, den mysql_error in zusammenhang mit dem Verwendeten SQL-Befehl auszugeben um Fehler schneller zu finden. Ist das dann im 'Betriebszustand' auch ratsam?

[Gumbo]

Im Produktivsystem sollten keine technischen Fehlermeldungen an den Benutzer ausgegeben werden. Einerseits helfen sie ihm sowieso nicht weiter. Und andererseits können die Fehlermeldungen womöglich wichtige oder sensible Informationen enthalten, die gar nicht für ihn bestimmt sind (etwa Informationen über die internen Strukturen).
Deswegen sollten keine vom System erzeugten Fehlermeldungen ausgegeben sondern nur protokolliert werden. Dem Benutzer kann dann eine allgemeine Fehlermeldung präsentiert werden, um ihn über die Situation zu informieren.