Kunden und Adressen auf Prepared Statements umgebaut

incs/saveNchange.php neu geschrieben: Adressen, Telefonnummern, Kontakte,
Notizen und Konten laufen ueber db_abfrage() mit Platzhaltern, mehrschrittiges
Speichern in einer Transaktion. Weil sich die Speicherfunktionen gegenseitig
aufrufen, klammern beginneSpeichern()/beendeSpeichern() die Verschachtelung;
incs/rechnung.php nutzt sie ebenfalls.

Kunden- und Lieferantenseiten waren zwei fast gleiche Kopien und teilen sich
jetzt partnerAddSeite(), partnerChangeSeite() und partnerShowDaten().

Dabei behoben:
- SQL-Injektion ueber die Suchbegriffe der Kunden-, Lieferanten-, Adress-,
  Kommissions- und Projektsuche sowie ueber die Artikel-Autovervollstaendigung
- gespeichertes XSS: Notizen (nl2br escapt nicht), Bankname, Dokumenttyp,
  Namen und Adressen in allen Trefferlisten
- sites/liefershow.php war unter PHP 8 ein Fatal ($kdnres.id)
- "Telefonnummer loeschen" im Kundenbereich lief in einen Fatal, die Nummern
  einer geloeschten Adresse blieben stehen (Spalte hiess adress_id statt
  adresse_id, mysql_fetch_assoc gibt es nicht mehr)
- Geburtstag ohne Jahr wurde im Formular verschluckt, die IBAN kam beim
  Bearbeiten aus $_GET statt aus dem Konto
- die Versionskette eines Kunden brach nach einem Schritt ab
- Kommissionsadressen speicherten die Ortsangabe der Adresse statt der des
  Telefonformulars und einen Adresstyp als Telefontyp
- Blaettern in den Trefferlisten: ohne ORDER BY konnte dieselbe Zeile zweimal
  oder gar nicht erscheinen; ajax_searchadress() bekam die Seite nicht
- Hauptadresse laesst sich nicht mehr loeschen, Kundendaten nicht mehr ueber
  die Lieferantenseite (und umgekehrt)
- ajax/auto/* baute JSON von Hand zusammen, ein Anfuehrungszeichen im Ort
  machte die Liste unbrauchbar

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

ajax/searchkomm.php

@@ -1,66 +1,47 @@
-<?php 
+<?php
 require_once("../incs/connectmysql.php");
 require_once("../incs/funcs.php");
 require_once("../incs/listfuncs.php");
 require('../smarty/libs/Smarty.class.php');
 
-
 $smarty = new Smarty;
 
-
 $pagesize = 50;
-
+if(!isset($err))
+	$err = "";
 
 if(!$err)
 {
-	$fulltag = utf8_encode($_GET["search"]);
-	$src  = explode(" ",$fulltag);
-	$combiner = mysql_escape_string($_GET["link"]);
-	if($combiner != "AND" && $combiner != "OR")
-	{
-		$combiner = "AND";
-	}
-	$page = $_GET["page"];
-	$id = $_GET["kdnid"];
-	$queries = createKommQry($page,$pagesize,$src,$combiner,$id,$typ,0);
-	$qry = mysqli_query($dbconn,$queries["all"])
-		or die("Datenbank fehler: ".mysqli_error($dbconn));
-	$numres = mysqli_num_rows($qry);
-	/*
-	if(!$numres)
-	{
-		$queries = createKdnRechQry($page,$pagesize,$src,$combiner,1);
-		$qry = mysqli_query($dbconn,$queries["all"])
-			or die("Datenbank fehler: ".mysqli_error($dbconn));
-		$numres = mysqli_num_rows($qry);
-		message("veraltete Datensätze wurden in die Suche einbezogen");
-	}
-	*/
+	// kommt per encodeURIComponent bereits als UTF-8
+	$fulltag = isset($_GET["search"]) && is_string($_GET["search"]) ? $_GET["search"] : "";
+	$link = isset($_GET["link"]) && is_string($_GET["link"]) ? $_GET["link"] : "";
+	$page = isset($_GET["page"]) ? (int)$_GET["page"] : 0;
+	$id = isset($_GET["kdnid"]) ? (int)$_GET["kdnid"] : 0;
+
+	$src = explode(" ", $fulltag);
+	$combiner = $link == "OR" ? "OR" : "AND";
+	$listlines = array();
+
+	$queries = createKommQry($page,$pagesize,$src,$combiner,$id);
+	$numres = zaehleTreffer($dbconn, $queries);
 	if($numres)
 	{
-		$listlines=array();
-		$qry = mysqli_query($dbconn,$queries["limited"])
-			or die("Datenbank fehler: ".mysqli_error($dbconn));
+		$qry = db_abfrage($dbconn,$queries["limited"],$queries["params"])
+			or die("Datenbank fehler: ".htmlspecialchars(mysqli_error($dbconn)));
 		while($res=mysqli_fetch_assoc($qry))
 		{
-			$actions = " <a href='?action=kundenchange&do=adress&adressid=".$res["id"]."&kunde=$id'><span class='edit' title='Adresse ändern'></span></a>";
-			$actions .= " <span class='del'  title='Adresse löschen' onClick='askdel(\"Möchten Sie diese Adresse<br /><b>UND ALLE ZUGEHÖRIGEN RECHNUNGEN</b><br />wirklich unwiederruflich löschen?\",\"?action=kundenchange&do=adress&adressid=".$res["id"]."&del=1\")'></span>";
-			$actions .= " <a href='http://maps.google.com?q=".$res["plz"]."+".$res["ort"]."+".$res["str"]."+".$res["hnr"]."' class='noloading' target='_blank'><span class='map' title='Auf Karte zeigen'></span></a>";
-			$actions .= " <a href='?action=terminadd&adressid=".$res["id"]."'><span class='termadd' title='Termin anlegen'></span></a><br />";
-			$actions .= " <a href='?action=rechnungadd&type=1&adressid=".$res["id"]."'><span class='rechnadd' title='Rechnung anlegen'></span></a>";
-			$actions .= " <a href='?action=rechnungadd&type=1&adressid=".$res["id"]."'><span class='gutschradd' title='Gutschrift anlegen'></span></a>";
-			$actions .= " <a href='?action=rechnungadd&type=3&adressid=".$res["id"]."'><span class='angadd' title='Angebot anlegen'></span></a>";
-			$actions .= " <a href='?action=rechnungadd&type=5&adressid=".$res["id"]."'><span class='letteradd' title='Brief anlegen'></span></a><br />";
-			$tmpqry = mysqli_query($dbconn,"SELECT id FROM kontakt WHERE partner_id = '$id' AND typ_id = 1");
-			if(mysqli_fetch_array($tmpqry))
-				$actions .= "<a href='?action=rechnungadd&id=".$res["id"]."&adressid=".$res["adresse_id"]."&mail=1'><span class='mail' title='Dokument per E-Mail versenden'></span></a>";
-			$name=makenameline($res);
-			$adresse=makeadressline($res);
-				$listlines[] = array($name, 
-									$adresse["ort"], $adresse["str"], 
-									maketelline($res),
-									$actions
-									);
+			$adrid = (int)$res["id"];
+			$karte = rawurlencode($res["plz"]." ".$res["ort"]." ".$res["str"]." ".$res["hnr"]);
+			$actions = " <a href='?action=kundenchange&do=adress&adressid=".$adrid."&kunde=".$id."'><span class='edit' title='Adresse ändern'></span></a>";
+			$actions .= " <span class='del'  title='Adresse löschen' onClick='askdel(\"Möchten Sie diese Adresse<br /><b>UND ALLE ZUGEHÖRIGEN RECHNUNGEN</b><br />wirklich unwiederruflich löschen?\",\"?action=kundenchange&do=adress&adressid=".$adrid."&del=1\")'></span>";
+			$actions .= " <a href='https://maps.google.com/?q=".$karte."' class='noloading' target='_blank' rel='noopener'><span class='map' title='Auf Karte zeigen'></span></a>";
+			$actions .= " <a href='?action=terminadd&adressid=".$adrid."'><span class='termadd' title='Termin anlegen'></span></a><br />";
+			$actions .= " <a href='?action=rechnungadd&type=1&adressid=".$adrid."'><span class='rechnadd' title='Rechnung anlegen'></span></a>";
+			$actions .= " <a href='?action=rechnungadd&type=2&adressid=".$adrid."'><span class='gutschradd' title='Gutschrift anlegen'></span></a>";
+			$actions .= " <a href='?action=rechnungadd&type=3&adressid=".$adrid."'><span class='angadd' title='Angebot anlegen'></span></a>";
+			$actions .= " <a href='?action=rechnungadd&type=5&adressid=".$adrid."'><span class='letteradd' title='Brief anlegen'></span></a><br />";
+			$adresse = makeadressline($res);
+			$listlines[] = array(makenameline($res), $adresse["ort"], $adresse["str"], maketelline($res), $actions);
 		}
 		$headings = array("Name","Ort","Straße","Tel","Aktionen");
 		$lastdisplay = ($page+1)*$pagesize;
@@ -70,17 +51,17 @@ if(!$err)
 			ok("Die Suche nach ".htmlspecialchars($fulltag)." ergab ".$numres." Ergebnisse.<br /> Ergebnis ".($page*$pagesize+1)." bis ".$lastdisplay);
 		else
 			ok($numres." Kommissionen sind insgesamt gespeichert.");
-			
-		displaySplitPages($pagesize,$page,$skspage,0,$numres,"ajax_searchkomm",",$id");
-		displayList($headings,$listlines,$speciallines);
-		displaySplitPages($pagesize,$page,$skspage,0,$numres,"ajax_searchkomm",",$id");
+
+		displayPages($pagesize,$page,$numres,"ajax_searchkomm",",".$id);
+		displayList($headings,$listlines,array());
+		displayPages($pagesize,$page,$numres,"ajax_searchkomm",",".$id);
 	}
-	else 
+	else
 	{
 		if($fulltag)
 			ok("Die Suche nach ".htmlspecialchars($fulltag)." ergab keine Ergebnisse.");
-		else 
+		else
 			ok("Keine Einträge.");
 	}
 }
-?>
+?>