.

[Jesus_666]

hab meinen fehler gefunden...
fehler war $link
ich hatte an $link noch ein ' rangehängt -.-

...

Du übergibst unsanitisierte Variablen an SQL? Happy injection time!

[Jesus_666]

Ich spreche von Maßnahmen wie mysql_escape_string. Damit dir nicht das passiert.

[mitaki]

Ich spreche von Maßnahmen wie mysql_escape_string. Damit dir nicht das passiert.

...

Ich rate lieber zu mysql_real_escape_string, da hier auch die aktuelle Zeichenkodierung berücksichtigt wird. Das ist vor allem dann nett, wenn man mit PHP 5.2.3+ arbeiten kann, da dann auch mysql_set_charset zur Verfügung steht.

[Jesus_666]

Wenn wir von idealen Funktionen sprechen würde ich eh zu mysqli->real_escape_string raten. Die mysqli-Erweiterung ist der alten mysql-Erweiterung voraus; man muß nur sicherstellen, daß der Hoster sie auch unterstützt.

Mit mysqli kriegst du auch lustige Funktionen wie mysqli->prepare/mysqli->stmt_bind_param, mit denen du Typsicherheit in deine Abfrage kriegst. Und Unterstützung für Transaktionen und Rollbacks. Und allgemein Unterstützung für MySQL-Features, die neuer sind als Oktober 2004.