[Julied64]

Hiho


Hab mir mal ne kleine function (eigentlich sind es 2 ^^) ausgedacht damit ich nicht immer mysql_real_escape_string() schreiben muss. Würd gern mal wissen was ihr dazu so sagt

PHP-Code:

private function sql_sec( $resource )
{
    if ( is_array($resource) )
    {
        return $this->getRecursiveSqlSec( $resource );
    }
    return mysql_real_escape_string( $resource );
}

private function getRecursiveSqlSec( $array )
{
    foreach ( $array as $key => $value )
    {
        if( is_array( $value ) )
        {
            $value = $this->getRecursiveSqlSec( $value );
            $array[$key] = $value;
        }
        $array[$key] = mysql_real_escape_string( $value );
    }
    return $array;
} 


http://www.php.net/array_map

array_map macht das Rekursive. Ist schneller als deine Funktion.

Würd gern mal wissen was ihr dazu so sagt

Nix. Solche Funktionen gibts schon 1000 mal im Internet und zumindest eine Variante hat wahrscheinlich jeder selbst in Verwendung. Ist glaube ich sogar in einem Kommentar im PHP Manual

Jay

[dsxs]

Sowas wie das hier

PHP-Code:

// strip array
function strip_deep($value)
{
   $value = is_array($value) ? array_map('strip_deep', $value) : stripslashes($value);
   return $value;
}
//escape array
function escape_deep($value)
{
   $value = is_array($value) ? array_map('escape_deep', $value) : mysql_real_escape_string($value);
   return $value;
} 


[Homepagespeicher]

Habe auch eine Frage dazu:
- Stimmt es eigentlich das wenn ich mysql_real_escape_string jedesmal in den Insert-Query schreibe statt jeden Wert zuvor jeweils einer Funktion übergebe, also stimmt es das ich dann "mysql-Zugriffe" spare???

mfg

[Lars]

Nö.
Den ganzen Query zu escapen ist Schwachfug, das hab ich auch mal irgendwann versucht

Wenn, dann nur die einzelnen Werte.

SELECT col1 FROM table WHERE col2 = 'escapter wert';

[Homepagespeicher]

Den ganzen Query zu escapen ist Schwachfug,

Das ist auch etwas unlogisch, da ein query eine Mysql Anweisung ist, er wäre weg qusi...
- Ich meinte wenn ich 10 Eingabewerte hab und schreib
INSERT 10x escapter Wert in TABELLE, hab ich EINEN Query
- Wenn ich die 10 Werte aber vorher per Funktion berreinige habe
ich 10 Mysql Zugriffe, oder?
Bitte berichtigt mich wenn ich mich täusche, aber ich glaub es ist etwas perfomanter die Eingabewerte ""im query" zu escapen...?

SELECT col1 FROM table WHERE col2 = 'escapter wert';

Bei DB-Ausgabe escapen, wenn die Werte schon aus der DB kommen fängt aber der Schwachfug erst an, mh?

mfg

[Lars]

Bei DB-Ausgabe escapen, wenn die Werte schon aus der DB kommen fängt aber der Schwachfug erst an, mh?

Les dir die Codezeile nochmal durch. Und dann nochmal. Und danach dann vielleicht nochmal.

[Homepagespeicher]

Hab Deinen Query nicht ganz zuende gelesen, entschuldige bitte!
Aber meine Frage wegen der Perfomance bleibt noch bestehen...

[robo47]

mysql_real_escape_string baut keine verbindung zur datenbank auf! also kein query!
sprich nix mit mehr verbindungen zur datenbank

[Homepagespeicher]

Aha, wußte ich nicht:
Denn wenn keine DB Verbindung besteht geht doch auch kein mysql_real_escape_string - also kein query aber Verbindung zum MySQL-Server!?!
Mh... werd die Performance Frage da noch nicht ganz los... ?

mfg

[Julied64]

aaahhh *schrei*

da baut man sich mal nettes und denkt man hat sich arbeit erspart...und dann gibts des ding schon.... *lach* *anKopflang*

sorry für die störung ^^

[Lars]

mysql_real_escape_string() fragt bei der Datenbank nach, welche Collation genutzt wird, also nichts mit keine Verbindung