PHP / MySQL

[delphirocks]

Sicherer wäre z.B., die neue mysqli Erweiterung zu verwenden.

Also anstatt

PHP-Code:

$select_inhalt = "SELECT Inhalt, Autor, Datum, Titel FROM news WHERE id = ".$upid; 


lieber

PHP-Code:

$query = $mysqli->prepare( "SELECT Inhalt, Autor, Datum, Titel FROM news WHERE id = ?" );
$query->bind_param( 'i',  $upid ); // i für integer
$query->execute( ); 


Ist zwar lästig, dafür ist man auf der sicheren Seite. Es gibt auch noch ein paar andere Möglichkeiten, um SQL-Injections zu vermeiden, aber Parameter zu verwenden ist (bei anderen Sprachen zumindest) denke ich die gängigste Methode.

Artikel

Nettes Youtube Video eines Live-"hacks":

SQL-Injection