• http://example.org/index.html
• http://example.org/img/image.png

In der index.html kann das Bild entweder relativ oder absolut eingebunden werden.

<!-- absoluter Pfad -->
<img src="http://example.org/img/image.png" title="..." alt="..." />

<!-- relativer Pfad -->
<img src="img/image.png" title="..." alt="..." />

<!-- absoluter Pfad, relativ zum Host -->
<img src="/img/image.png" title="..." alt="..." />

Was aber ebenfalls möglich ist, ist ein absoluter Pfad relativ zum Protokoll.

<!-- absoluter Pfad, relativ zum Host -->
<img src="//example.org/img/image.png" title="..." alt="..." />

Und dies kann in bestimmten Situation sehr, sehr nützlich sein. Zum Beispiel wenn man sicherstellen will, dass bei einer SSL Anfrage alle eingebundenen Ressourcen über HTTPS geladen werden, obwohl die Ressourcen auf einem anderen Host liegen (z.B. einer Subdomain).

try {
    try {
        throw new Exception('Ich hab dich Jerry!!');
    }
    catch (Exception $e) {
        throw new Exception('No way, Tom ...', 0, $e);
    }
}
catch (Exception $e) {
    echo $e->getPrevious()->getMessage(); // Ich habe dich Jerry!!
    echo $e->getMessage();                // No way, Tom ...
}

Als neuen, dritten Parameter kann der Exception Klasse ein Exception Objekt mitgegeben werden. Leider gibt es keine Methode um zu überprüfen ob ein solches Objekt vorhanden ist, man muss den Rückgabewert von getPrevious() auf null checken.

javascript:document.body.contentEditable='true'; document.designMode='on'; void 0;

Funktioniert übrigens auch in IE8. Wie's mit anderen Browsern/Versionen ausschaut habe ich nicht getestet.

$sql = "SELECT fields FROM table WHERE id = " . mysql_real_escape_string($_POST['id']);

Wenn da jetzt ein böser Angreifer 1 OR 1 = 1 mitschickt resultiert dies in folgendem SQL Statement:

$sql = "SELECT fields FROM table WHERE id = 1 OR 1 = 1";

Da in 1 OR 1 = 1 keine bösartigen Zeichen vorkommen, wird durch mysql_real_escape_string() auch nichts entfernt. Einzige Abhilfe würde da ein intval($_POST['id']) schaffen.

Die viel bessere Alternative heisst aber Prepared Statements. Diese werden sowohl in PDO als auch in mysqli unterstützt.

// PDO
$pdo = new PDO('mysql:dbname=database;host=host', 'user', 'pwd');
$stmt = $pdo->prepare("SELECT fields FROM table WHERE id ?");
$stmt->bindParam(1, $_POST['id'], PDO::PARAM_INT);
$stmt->execute();

// mysqli
$db = new mysqli('host', 'user', 'pwd', 'database');
$stmt = $mysqli->prepare("SELECT fields FROM table WHERE id ?");
$stmt->bind_param('i', $_POST['id']);
$stmt->execute();

Sehr gut finde ich den Status Code 418 I'm a teapot ... ;-)

418 I'm a teapot
Any attempt to brew coffee with a teapot should result in the error code "418 I'm a teapot". The resulting entity body MAY be short and stout.

Da das Kopieren von Daten zeitaufwändig und nicht gerade Ressourcenschonend ist, werden die Daten erst bei Schreibzugriff kopiert. Dabei müssen nicht zwingend alle Daten kopiert werden.