hvornår bruger i den real_escape_string()

en ting mere
Hvis man bruger mysql_real_escape_string() og magic_quotes er slået til bliver den så double backslashed eller tager magic højde for at det er gjort??

http://dk2.php.net/manual/da/function.mysql-real-escape-string.php

Er selv begyndt ALTID at bruge,

function safe_query($var) {

    if(get_magic_quotes_gpc()) {
    $var = stripslashes($var);
    }

    if(!is_numeric($var)) {
    $var = "'". mysql_real_escape_string($var) ."'";
    }

    return $var;
}

Men er det f.eks. et tal fra url som skal bruges i en query, bruger jeg så ALTID intval()
$sql = mysql_query("SELECT * FROM `tabel` WHERE `id` = ". intval($_GET["nr"]) ."") or die (mysql_error());

Men umiddelbart. så er der ingen grund til IKKE altid at sikre sin query.
Så ved du, at du gør det rigtigt hver gang

skal alt der bruges i en query der kommer med GET eller POST sikres?

altså både hvis det er noget der skal bruges i queryen ved WHERE pg hvis det er noget der skal indsættes eller updates??

Er der andre situationer end GET og POST hvor man skal bruge mysql_real_query()?

Hvis brugeren på nogen måde kan komme i nærheden af at påvirke de data som du behandler på serveren, så skal du validere. Så alt fra GET, POST, COOKIE etc skal sikres

Også de mere skjulte data fra klienten skal sikres, f.eks. $_SERVER['HTTP_USER_AGENT'] som angiver hvilken browser brugeren benytter. Hvis et php script hiver denne oplysning ud og gemmer i en database, så kan brugeren, uden validering på serveren, injekte sql kommandoer i sin user agent streng

nåhh, skulle lige til at skrive noget lign.... :O)

Så længe du IKKE kan forvente brugerinput i dine forespørgsler, gør det ikke noget at lade være, da du jo selv har kontrol over query.

Har hørt at f.eks. $_SERVER["HTTP_REFERER"] også skal skulle være nem at selv bestemme indholdet af.

Hey morhan
Jeg bruger nu mysql_real_escape_string() på stort set alt jeg indsætter i databasen og hvis jeg bruger brugerens input i en "where" sætning.

Nu siger du "validere". Hvoran mener du. Skal jeg gøre andet end bruge mysql_real_escape_string().

Hvis jeg fx forventer en int skal jeg så checke om det er en int?
Hvis jeg forventer en email skal jeg så checke om det er en email?
Hvis jeg forventer en gang fri tekst der skal insættes...ja det kan man vel ikke validere?

Er det nok bare at bruge mysql_real_escape_String() alt eller gør du andet??

nå
vi skal have lukket denne her læg nogle svar

ingen svare så jeg tar dem
undskyld