Problem in MySQL-Syntax

Hi,
ich habe ein kleines Problem mit MySQL:
 
You have an error in your SQL syntax; check the manual that corresponds
to your MySQL server version for the right syntax to use near 'Steiner, Politik, , da
 
Der Code dazu:

if (mysql_query ("INSERT INTO artikel (titel, autor, rubrik, klapptxt, inhalt, datum) VALUES ($_POST[titel], $_POST[autor], $_POST[rubrik], $_POST[klapptxt], $_POST[text], $datum ' ' $uhr)")) {
      echo "Dein Artikel wurde gespechert! Vielen Dank!";
} 

Versuchs mal so:

if (mysql_query("INSERT INTO artikel 
(titel, autor, rubrik, klapptxt, inhalt, datum) VALUES 
('$_POST['titel']', '$_POST['autor']',  '$_POST['rubrik']', 
'$_POST['klapptxt']', '$_POST['text']', '$datum' '$uhr')") {
  
echo "Dein Artikel wurde gespechert! Vielen Dank!";
}

Danke vielmals, noch bisschen verändert und jetzt geht's!
 
Warum ist mein Script unsicher? Bzw. woran siehst du das? Das ist ja nur ein Teil des Codes.

Weil jeder die Postdaten beliebig manipulieren kann. Da bei dir keine Überprüfung der Daten stattfindet könnte man z.B. ohne Probleme SQL Befehl in die Postdaten packen. Damit könnte man dann unter anderem deine gesamte Tabelle/DB löschen oder leer und solche lustigen Spielchen. Weitere Unsinn ist natürlich auch möglich.

Hm,ok. Generell ist es zwar eher unwahrscheinlich, dass Vierklassler in einem Gymnasium so etwas machen, aber es geht ja ums Prinzip! Auch wenn die Frage jetzt wahrscheinlich saublöd klingt: Wie kann ich so eine Überprüfung einbinden?

Hier erstmal ein Tutorial zum Thema selbst: http://spacequadrat.de/tutorials/view/41/...ndern
Unterbinden kannst du das ganze eigentlich relativ einfach...

Nimm einfach mysql_real_escape_string...
Daten werden zwar nicht überprüft, es kommt aber wenigstens (z.B.) zu keinen unerwünschten Änderungen der DB.

Wow! Danke erst mal fürs Tutorial. Habe ich scheinbar übersehen... und zu dem real_escaping_string noch eine frage:
Das ganze muss man beim lesen von der DB machen? Ich dachte bevor's draufgeschrieben wird.

Meiner Meinung nach ist es das sicherste, wenn du es jedesmal machst, also bei INSERT, UPDATE, DELETE(welches ich NIE nutze) und natürlich SELECT. real escape ist aber trotzdem keine 100%ige Sicherheit, aber schonmal ein guter Anfang.

ist das dann
SELECT
real_escape (a),
real_escape (b)
oder real_escape (select (a, b))?