CoderZ-Home - Lerne Programmieren

Dann mach ich mal den Anfang.

htmlspechialchars() ist eigentlich ausreichend beschrieben.
Folgende Zeichen werden umgewandelt:
& (Ampersand/kaufmännisches Und) wird zu &.
" (doppeltes Anführungszeichen) wird zu " , wenn ENT_NOQUOTES nicht gesetzt ist.
' (einfaches Anführungszeichen) wird nur zu ' , wenn ENT_QUOTES gesetzt ist.
< (kleiner als) wird zu &lt;
> (größer als) wird zu &gt;
Fangen wir mal von vorne an. In HTML benötigst du Zeichen, um Elemente zu erstellen. Ein Element besteht mindestens aus den Zeichen < und > . Würde der User nun in einem Formular diese Zeichen benutzen, und sie würden nicht umgewandelt, dann könnte der User beispielsweise auch <h1>Hallo</h1> eingeben. Probieren wir es mal aus und geben das ein.Was passiert? Es wird eine Überschrift 1. Ordnung ausgegeben. Vielleicht ist das noch nicht so schlimm, aber stell dir mal vor, in einem Gästebuch posten die Leute genau das. Und es geht noch schlimmer. Beispielsweise könnte er CSS darüber senden:Was passiert? Stell dir vor, das steht in einem Gästebucheintrag, dann ist die ganze Seite weg.
Noch nicht überzeugt? Versuchen wir mal etwas anderes einzugeben. Beispielsweise das hier: . Und stell dir mal vor, dass die Seite nicht google.de ist, sondern eine andere Seite in der Javascript ist und eine Weiterleitung deiner Seite initiiert. Stell dir weiter vor, derjenige will an die Passwörter deiner User kommen und hat deine Website nachgebaut. Dann leitet er auf die nachgebaute Seite weiter und fragt den User nach Name und Passwort.

Damit das nicht passiert, werden diese Zeichen umgewandelt, sodass sie im Browser angezeigt werden und nicht Bestandteil des HTML-Quelltextes werden. Jetzt funktionieren die Beispiele nicht mehr und es wird das angezeigt, was eingegeben wurde. Also beim letzten Beispiel mit dem iframe würde im Quelltext nun folgendes stehen:

Jetzt überzeugt?

Sorry, ich war wirklich etwas genervt. Das lag aber nicht an dir. Ich habe gerade viel zu tun und bin deswegen gestresst. Aber als ich sah, dass hier bisher noch niemand deine Frage beantwortet hat, habe ich mich gezwungen etwas zu schreiben. Verzeih mir bitte!

Erstmal, Variablennamen dürfen nicht aus Bindestrichen ( - ) bestehen, da sie als Subtraktions-Operator gelten.

Also dauerhaft zu speichern, also zur Laufzeit des Skripts, geht, indem du schreibst:Um das wieder rückgängig zu machen, kann die Funktion htmlspecialchars_decode() benutzt werden. Sie wird genauso wie htmlspecialchars() angewendet.
Für das Abspeichern in einer Datenbank gibt es aber die nächste sicherheitsrelevante Funktion, die aber erst nach einen mysql_connect() aufgerufen werden kann.
Die Funktion entwertet Zeichen, die in einem SQL-Befehl wichtige Zeichen sind, genau wie in htmlspecialchars(). Die Funktion heißt mysql_real_escape_string() und erwartet als Parameter den String, der "entwertet" werden soll. Das sollte IMMER angewendet werden, da sonst die sogenannte MySQL-Injection-Gefahr besteht.Wichtig ist, dass mysql_real_escape_string() erst NACH mysql_connect() aufgerufen werden kann!

Huch, dann hab ich dich falsch verstanden. Mal angenommen in $_POST['daten'] soll der Name von irgendwem stehen, dann reicht folgendes aus:

So weist du der Variablen $Name den konvertierten String aus $_POST['daten'] zu.

Vielleicht liegt das auch an einem Verständnisproblem mit Rückgabewerten. Das was in der Funktion "berechnet" wird, wird zurückgegeben. Die angehängte Grafik zeigt mit einem grünen Pfeil, wohin das "berechnete" gegeben wird.

Somit wird auch klar, wenn du schreibst, dass in $Name nun der berechnete Wert (also der umgewandelte String) steht. Und solange du der Variablen $Name keinen anderen Wert zuweist, bleibt da auch der umgewandelte String drin. Solange, bis das Programm beendet wurde, also bis zum Ende des Skripts.

Ich hab nicht wenig geschrieben. Was meintest du denn?