MySQL-String-Escape ohne Datenbankanbindung

Frage:

Wie kann man die Funktionalität von mysql_real_escape_string emulieren, ohne eine Datenbank einzurichten? Verbindung, insbesondere für Trockenprüfungen Zwecke?

Antwort:

Leider ist es nicht möglich, einen String ohne Datenbankverbindung sicher zu maskieren. Sowohl mysql_real_escape_string() als auch vorbereitete Anweisungen erfordern eine Verbindung, um den geeigneten Zeichensatz für das Escapen zu bestimmen. Das Weglassen dieses Schritts öffnet die Tür zu SQL-Injection-Angriffen.

Auswirkungen auf das Testen:

Nur zu Testzwecken ist die Verwendung von mysql_escape_string() zulässig. Diese Funktion ist zwar veraltet, bietet jedoch einen mäßigen Schutz vor SQL-Injection. Es ist jedoch wichtig zu verstehen, dass es nicht narrensicher ist und eine ordnungsgemäße Datenbankverbindung für die sichere Verarbeitung von Zeichenfolgen im Produktionscode unerlässlich ist.