Insert Into Daten per php in Datenbank schreiben und schützen

Insert Into Daten per php in Datenbank schreiben und schützen

12. September 201415. Februar 2016frithjofPHP

Um Daten in eine MySQL Datenbank zu speichern fügt man zunächst die MySQL Abfrage in einem String zusammen. Dieser wird in einer Variabele gespeichert. Wichtig ist hierbei das man die Datenbank schützt, sodas ein Angreifer keine Steuerzeichen in die Datenbank einschläusen und somit Manipulieren kann.Die Variabelen werden im code vorher definiert, genauso wie die Verbindung zur Datenbank.

$eintrag = "INSERT INTO daten
      (
      vorname,
      nachname,
      email,
      alter,
      )
      VALUES
      (
      '".$vorname."', 
      '".$nachname."', 
      '".<a href="http://www.php.net/mysql_real_escape_string">mysql_real_escape_string</a>($emailAdresse)."', 
      '".<a href="http://www.php.net/mysql_real_escape_string">mysql_real_escape_string</a>($Alter)."'
      )";
 
 
      //Daten einfügen in die DB
      $eintragen = <a href="http://www.php.net/mysql_query">mysql_query</a>($eintrag);
 
//Nur wärend der ENTWICKLING!
if (!$eintragen) {
   // die('Ungültige Anfrage: ' . mysql_error());
}

$eintrag = "INSERT INTO daten

(

vorname,

nachname,

email,

alter,

)

VALUES

(

'".$vorname."',

'".$nachname."',

'".<a href="http://www.php.net/mysql_real_escape_string">mysql_real_escape_string</a>($emailAdresse)."',

'".<a href="http://www.php.net/mysql_real_escape_string">mysql_real_escape_string</a>($Alter)."'

)";

//Daten einfügen in die DB

$eintragen = <a href="http://www.php.net/mysql_query">mysql_query</a>($eintrag);

//Nur wärend der ENTWICKLING!

if (!$eintragen) {

// die('Ungültige Anfrage: ' . mysql_error());

}

Wenn die Funktion richtig ausgeführt wird, dann gibt die Funktion eine 1 (True) zurück. Wenn nicht dann eine Fehlermeldung. Die IF abfrage hilft bei der entwicklung Fehler beim übergeben an MySQL zu finden. Denn die Fehler werden dann ausgegeben. Meistens handelt es sich um Zeichen die MySQL „Durcheinanderbringen“

Auch und gerade wegen dem Schutz gegen Angriffe, oder falsche Zeichen muss man die Anfragen schützen. Das pasiert (zum Teil, andere Sicherheitsmassnahmen sind ebenso wichtig) über

mysql_real_escape_string()

1	mysql_real_escape_string()

Hier wird die Variabele die übergeben wird erst auf Zeichen untersucht, die von MySQL als Steuerzeichen interpretiert würden. diese werden dann maskiert. Damit kann z.B. ein Angreifer nicht in das Feld einfach ein ‚ einfügen was MySQL zu einem Fehler veranlassen würde.

IT Stream

Mein IT und Technik Notizbuch

Mein neuer 15 Stunden Android 7 Kurs

Insert Into Daten per php in Datenbank schreiben und schützen