SQL Injection

Kig til højre under seneste guides ;o)

http://www.eksperten.dk/guide/1479

http://www.eksperten.dk/guide/1480

Tak. Smid svar :)

Ellers tak, samler ikke på point. Læg selv et svar og glem ikke at accepter, så spørgsmålet bliver lukket.

Okay.

function Add($name) {
mysqli_query($con,"INSERT INTO table (name) VALUES ('".mysqli_real_escape_string($con,$name)."')") OR DIE(mysql_error());
}

Den klarer det hele for dig :-)

#5

Prøv du også at læse hvad Ole har skrevet ;o)

<ole>

@Tokez: Hvis man stædigt nægter at gøre brug af forbedringerne i MySQLI, er det naturligvis en mulighed - men det er langtfra hensigtsmæssigt  =)

/mvh
</bole>

@olebole

Hvis jeg nu bare vil udskrive alt fra en given tabel uden nogen WHERE sætninger.

Er det så sikkert at gøre sådan her:
SELECT `fornavn`, `efternavn` FROM `tabel`

Samt fjerne disse to linier:

    $stmt->bind_param('i', $id);
    $id = $_GET['id'];

Ja, det udtryk indeholder kun, hvad du selv har skrevet i koden. Så snart, du bruger input udefra - og det kan som sagt også være en cookie, som mange ikke tænker på som udefrakommende - skal du være på vagt  *o)

Perfekt. Tak.