htmlspecialchars toevoegen waar?

Hallo,

Waar moet ik htmlspecialchars ofso toevoegn?

[COLOR= #0000BB]<?php[/COLOR]
            
                [URL="http://www.php.net/if"]if[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_SERVER[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]REQUEST_METHOD[/COLOR][COLOR= #007700]]==[/COLOR][COLOR= #DD0000]"POST"[/COLOR][COLOR= #007700]) {[/COLOR]
                    [URL="http://www.php.net/if"]if[/URL][COLOR= #007700]([/COLOR][URL="http://www.php.net/empty"]empty[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]naam[/COLOR][COLOR= #007700]])){[/COLOR]
                        [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]Vul een naam in.<br />[/COLOR][COLOR= #007700];
                    }[/COLOR]
                    [URL="http://www.php.net/if"]if[/URL][COLOR= #007700]([/COLOR][URL="http://www.php.net/empty"]empty[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]achternaam[/COLOR][COLOR= #007700]])){[/COLOR]
                        [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]Vul een achternaam in.<br />[/COLOR][COLOR= #007700];
                    }[/COLOR]
                    [URL="http://www.php.net/if"]if[/URL][COLOR= #007700]([/COLOR][URL="http://www.php.net/empty"]empty[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]postcode[/COLOR][COLOR= #007700]])){[/COLOR]
                        [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]Vul een postcode in.<br />[/COLOR][COLOR= #007700];
                    }[/COLOR]
                    [URL="http://www.php.net/if"]if[/URL][COLOR= #007700]([/COLOR][URL="http://www.php.net/empty"]empty[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]huisnummer[/COLOR][COLOR= #007700]])){[/COLOR]
                        [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]Vul een huisnummer in.<br />[/COLOR][COLOR= #007700];
                    }[/COLOR]
                    [URL="http://www.php.net/if"]if[/URL][COLOR= #007700]([/COLOR][URL="http://www.php.net/empty"]empty[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]straat[/COLOR][COLOR= #007700]])){[/COLOR]
                        [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]Vul een straat in.<br /><br />[/COLOR][COLOR= #007700];
                    }[/COLOR] [URL="http://www.php.net/else"]else[/URL] [COLOR= #007700]{[/COLOR]
                    [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]Uw bestelling is geplaatst, er word zo spoedig mogelijk contact met u opgenomen <br />[/COLOR][COLOR= #007700];[/COLOR]
                    [URL="http://www.php.net/mysql_query"]mysql_query[/URL][COLOR= #007700]([/COLOR][COLOR= #DD0000]"INSERT INTO bestellingen (naam, achternaam, postcode, huisnummer, straat) VALUES ("[/COLOR] [COLOR= #007700].[/COLOR] [URL="http://www.php.net/mysql_real_escape_string"]mysql_real_escape_string[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]naam[/COLOR][COLOR= #007700]]) .[/COLOR] [COLOR= #DD0000]", "[/COLOR] [COLOR= #007700].[/COLOR] [URL="http://www.php.net/mysql_real_escape_string"]mysql_real_escape_string[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]achternaam[/COLOR][COLOR= #007700]]) .[/COLOR] [COLOR= #DD0000]", "[/COLOR] [COLOR= #007700].[/COLOR] [URL="http://www.php.net/mysql_real_escape_string"]mysql_real_escape_string[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]postcode[/COLOR][COLOR= #007700]]) .[/COLOR] [COLOR= #DD0000]", "[/COLOR] [COLOR= #007700].[/COLOR] [URL="http://www.php.net/mysql_real_escape_string"]mysql_real_escape_string[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]huisnummer[/COLOR][COLOR= #007700]]) .[/COLOR] [COLOR= #DD0000]", "[/COLOR] [COLOR= #007700].[/COLOR] [URL="http://www.php.net/mysql_real_escape_string"]mysql_real_escape_string[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]straat[/COLOR][COLOR= #007700]]) .[/COLOR] [COLOR= #DD0000]")"[/COLOR][COLOR= #007700]);
                    }
                }[/COLOR] 
                
            ?>

Mvg,
Desire

Nergens.

tussen de mysql_real_escape_string()
En het is niet verplicht bij het inserten, het mag ook bij het echoën

Oke bedankt.

Waar is je foutafhandeling...........?????????????????????????
Of heb je zelf soms bijzondere gaves om je mysql_query altijd te laten lukken.

Als ik hier iedereen die dit vergeet in te bouwen moest waarschuwen, en ik daar punten voor kreeg,dan was ik nu de puntenkoning. Ik heb dit al zo vaak gezegd, dat het nu bij het scripten toch eens op moet vallen, isn`t it??????

Aarclay schreef:

Waar is je foutafhandeling...........?????????????????????????
Of heb je zelf soms bijzondere gaves om je mysql_query altijd te laten lukken.

Als ik hier iedereen die dit vergeet in te bouwen moest waarschuwen, en ik daar punten voor kreeg,dan was ik nu de puntenkoning. Ik heb dit al zo vaak gezegd, dat het nu bij het scripten toch eens op moet vallen, isn`t it??????

Wat moet ik extra toevoegen dan

Foutafhandeling op je mysql_query()..........
Is heeeeeel vaaak besproken op dit forum......

(En geen gore `die` technieken)

Die dingen die jij doet Aarclay die mogen wel maar zitten niet standaard in sql. Daar was een andere naam voor maar die weet ik ff niet meer; ook kan ik die krengen niet vinden op mijn iPad toetsenbord.

Je moet ze alleen gebruiken als het niet anders kan

Welke dingen Sevvlor?

` die dingen, ik was niet helemaal duidelijk

Ik denk dat Aarclay doelde op het feit dat je de die(); functie gebruikt. Zoals hij al aangaf; gebruik degelijke foutafhandeling!

Just em. En backticks zijn ook onnodig, hoewel ik deze niet in je query zie.

Maar zijn vraag was waar hij htmlspecialchars moet zetten.

Antwoord: Nergens. Je moet het gebruiken wanneer je gegevens wilt echoen. Bovendien zou ik niet htmlspecialchars gebruiken maar htmlenitities. Zo weet je zeker dat ook letters als ë en é goed wergegeven worden.

Rik schreef:

Maar zijn vraag was waar hij htmlspecialchars moet zetten.

Antwoord: Nergens. Je moet het gebruiken wanneer je gegevens wilt echoen. Bovendien zou ik niet htmlspecialchars gebruiken maar htmlenitities. Zo weet je zeker dat ook letters als ë en é goed wergegeven worden.

Oke bedank. Maar eigenlijk wil ik hem ook wel beveiligt hebben, dus Aarclay kan me best helpen daarmee
Aarclay zou je een voorbeeld kunnen geven hoe ik goed kan beveiligen?

Maartenl schreef:

tussen de mysql_real_escape_string()
En het is niet verplicht bij het inserten, het mag ook bij het echoën

het is niet MOGELIJK bij het inserten, omdat het daar niks doet. Het werkt alleen bij het echoën.

Desire schreef:

Oke bedank. Maar eigenlijk wil ik hem ook wel beveiligt hebben, dus Aarclay kan me best helpen daarmee
Aarclay zou je een voorbeeld kunnen geven hoe ik goed kan beveiligen?

Wat Aarclay zegt gaat niet echt over beveiligen (want dat is al ok lijkt mij zo) maar om foutenafhandeling, bijvoorbeeld wat er gebeurt als iets verkeerd gaat met de query.