Mögliches Duplikat:
Wie kann ich SQL-Injection in PHP verhindern?
Dies ist das Beispiel auf w3schools.org:
HTML-Formular:
<html>
<body>
<form action="insert.php" method="post">
Firstname: <input type="text" name="firstname" />
Lastname: <input type="text" name="lastname" />
Age: <input type="text" name="age" />
<input type="submit" />
</form>
</body>
</html>Datei insert.php:
<?php
$con = mysql_connect("localhost","peter","abc123");
if (!$con)
{
die('Could not connect: ' . mysql_error());
}
mysql_select_db("my_db", $con);
$sql="INSERT INTO Persons (FirstName, LastName, Age)
VALUES
('$_POST[firstname]','$_POST[lastname]','$_POST[age]')";
if (!mysql_query($sql,$con))
{
die('Error: ' . mysql_error());
}
echo "1 record added";
mysql_close($con)
?>Ich habe andere Fragen hier durchgelesen, aber ich konnte keine direkte Antwort finden, da die meisten viel komplizierter waren.
Ich habe mir Wie kann ich SQL-Injection in PHP verhindern? aber ich bin ein wenig verwirrt, wie ich das ändern kann:
$preparedStatement = $db->prepare('INSERT INTO table (column) VALUES (:column)');
$preparedStatement->execute(array(':column' => $unsafeValue));Angenommen, ich benutze das obige HTML-Formular und möchte die Daten aus dem Feld "Vorname" in die Datenbank einfügen, sollte es dann so aussehen? Oder soll ich Folgendes ändern column ?:
$preparedStatement = $db->prepare('INSERT INTO table (column) VALUES (:column)');
$preparedStatement->execute(array(':column' => $firstname));
