Kunden und Adressen auf Prepared Statements umgebaut

incs/saveNchange.php neu geschrieben: Adressen, Telefonnummern, Kontakte,
Notizen und Konten laufen ueber db_abfrage() mit Platzhaltern, mehrschrittiges
Speichern in einer Transaktion. Weil sich die Speicherfunktionen gegenseitig
aufrufen, klammern beginneSpeichern()/beendeSpeichern() die Verschachtelung;
incs/rechnung.php nutzt sie ebenfalls.

Kunden- und Lieferantenseiten waren zwei fast gleiche Kopien und teilen sich
jetzt partnerAddSeite(), partnerChangeSeite() und partnerShowDaten().

Dabei behoben:
- SQL-Injektion ueber die Suchbegriffe der Kunden-, Lieferanten-, Adress-,
  Kommissions- und Projektsuche sowie ueber die Artikel-Autovervollstaendigung
- gespeichertes XSS: Notizen (nl2br escapt nicht), Bankname, Dokumenttyp,
  Namen und Adressen in allen Trefferlisten
- sites/liefershow.php war unter PHP 8 ein Fatal ($kdnres.id)
- "Telefonnummer loeschen" im Kundenbereich lief in einen Fatal, die Nummern
  einer geloeschten Adresse blieben stehen (Spalte hiess adress_id statt
  adresse_id, mysql_fetch_assoc gibt es nicht mehr)
- Geburtstag ohne Jahr wurde im Formular verschluckt, die IBAN kam beim
  Bearbeiten aus $_GET statt aus dem Konto
- die Versionskette eines Kunden brach nach einem Schritt ab
- Kommissionsadressen speicherten die Ortsangabe der Adresse statt der des
  Telefonformulars und einen Adresstyp als Telefontyp
- Blaettern in den Trefferlisten: ohne ORDER BY konnte dieselbe Zeile zweimal
  oder gar nicht erscheinen; ajax_searchadress() bekam die Seite nicht
- Hauptadresse laesst sich nicht mehr loeschen, Kundendaten nicht mehr ueber
  die Lieferantenseite (und umgekehrt)
- ajax/auto/* baute JSON von Hand zusammen, ein Anfuehrungszeichen im Ort
  machte die Liste unbrauchbar

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

ajax/searchliefer.php

@@ -1,61 +1,47 @@
-<?php 
+<?php
 require_once("../incs/connectmysql.php");
 require_once("../incs/funcs.php");
 require_once("../incs/listfuncs.php");
 require('../smarty/libs/Smarty.class.php');
 
-
 $smarty = new Smarty;
 
 $pagesize = 50;
-
-
 if(!isset($err))
+	$err = "";
+
+if(!$err)
 {
+	// kommt per encodeURIComponent bereits als UTF-8
+	$fulltag = isset($_GET["search"]) && is_string($_GET["search"]) ? $_GET["search"] : "";
+	$link = isset($_GET["link"]) && is_string($_GET["link"]) ? $_GET["link"] : "";
+	$field = isset($_GET["field"]) && is_string($_GET["field"]) ? $_GET["field"] : "";
+	$page = isset($_GET["page"]) ? (int)$_GET["page"] : 0;
 
-	if(!isset($_GET["link"])){
-		$_GET["link"]="";
-	}
+	$listlines = array();
+	$src = explode(" ", $fulltag);
+	$combiner = $link == "OR" ? "OR" : "AND";
 
-	$fulltag = utf8_encode($_GET["search"]);
-	$src  = explode(" ",$fulltag);
-	$combiner = mysql_escape_string($_GET["link"]);
-	if($combiner != "AND" && $combiner != "OR")
-	{
-		$combiner = "AND";
-	}
-	$page = $_GET["page"];
-	
-	$queries = createPartQry($page,$pagesize,$src,$combiner,$_GET["field"],0,2);
-	$qry = mysqli_query($dbconn,$queries["all"])
-		or die("Datenbank fehler: ".mysqli_error($dbconn));
-	$numres = mysqli_num_rows($qry);
+	$queries = createPartQry($page,$pagesize,$src,$combiner,$field,0,2);
+	$numres = zaehleTreffer($dbconn, $queries);
 	if(!$numres)
 	{
-		$queries = createPartQry($page,$pagesize,$src,$combiner,$_GET["field"],1,2);
-		$qry = mysqli_query($dbconn,$queries["all"])
-			or die("Datenbank fehler: ".mysqli_error($dbconn));
-		$numres = mysqli_num_rows($qry);
+		$queries = createPartQry($page,$pagesize,$src,$combiner,$field,1,2);
+		$numres = zaehleTreffer($dbconn, $queries);
 		message("veraltete Datensätze wurden in die Suche einbezogen");
 	}
 	if($numres)
 	{
-		$qry = mysqli_query($dbconn,$queries["limited"])
-			or die("Datenbank fehler: ".mysqli_error($dbconn));
+		$qry = db_abfrage($dbconn,$queries["limited"],$queries["params"])
+			or die("Datenbank fehler: ".htmlspecialchars(mysqli_error($dbconn)));
 		while($res=mysqli_fetch_assoc($qry))
 		{
-			if(!isset($res["nname"]))
-				$name = $res["firma"];
-			else 
-				$name = $res["vname"]." ".$res["nname"];
-			if(isset($res["vwahl"]))
-				$res["tel"] = $res["vwahl"]."/".$res["tel"];
-			if(!isset($res["updated_by"]))
-				$listlines[] = array("<a href='?action=liefershow&id=".$res["kdnr"]."'>".$res["kdnr"]."</a>",$name,$res["plz"]." ".$res["ort"], $res["str"]." ".$res["hnr"], $res["tel"],"<span class='del'  title='Kunde löschen' onClick='askdel(\"Möchten Sie den Kunden ".$res["kdnr"]." und<br />ALLE ZUGEHÖRIGEN DATEN<br />wirklich <b>unwiederruflich</b> löschen?\",\"?action=kundenadd&kundeid=".$res["kdnr"]."&del=1\")'></span>");
-			else
-				$speciallines[] = array("<a href='?action=liefershow&id=".$res["kdnr"]."'>".$res["kdnr"]."</a>",$name,$res["plz"]." ".$res["ort"], $res["str"]." ".$res["hnr"], $res["tel"],"<span class='del'  title='Kunde löschen' onClick='askdel(\"Möchten Sie den Kunden ".$res["kdnr"]." und<br />ALLE ZUGEHÖRIGEN DATEN<br />wirklich <b>unwiederruflich</b> löschen?\",\"?action=kundenadd&kundeid=".$res["kdnr"]."&del=1\")'></span>");
+			$adresse = makeadressline($res);
+			$kdnr = (int)$res["kdnr"];
+			$aktionen = "<span class='del' title='Lieferant löschen' onClick='askdel(\"Möchten Sie den Lieferanten ".$kdnr." und<br />ALLE ZUGEHÖRIGEN DATEN<br />wirklich <b>unwiederruflich</b> löschen?\",\"?action=lieferadd&kundeid=".$kdnr."&del=1\")'></span>";
+			$listlines[] = array("<a href='?action=liefershow&id=".$kdnr."'>".$kdnr."</a>", makenameline($res), $adresse["ort"], $adresse["str"], maketelline($res), $aktionen);
 		}
-		$headings = array("Kd.Nr.","Name/Firma","Ort","Straße","Telefon","Löschen");
+		$headings = array("Kd.Nr.","Name/<i><u>Firma</u></i>","Ort","Straße","Telefon","Löschen");
 		$lastdisplay = ($page+1)*$pagesize;
 		if($numres < $lastdisplay)
 			$lastdisplay = $numres;
@@ -63,13 +49,12 @@ if(!isset($err))
 			ok("Die Suche nach ".htmlspecialchars($fulltag)." ergab ".$numres." Ergebnisse.<br /> Ergebnis ".($page*$pagesize+1)." bis ".$lastdisplay);
 		else
 			ok($numres." Lieferanten sind insgesamt gespeichert.");
-		
-		$speciallines = Array();
-		displayPages($pagesize,$page,$numres,"ajax_searchkunden");
-		displayList($headings,$listlines,$speciallines);
-		displayPages($pagesize,$page,$numres,"ajax_searchkunden");
+
+		displayPages($pagesize,$page,$numres,"ajax_searchliefer");
+		displayList($headings,$listlines,array());
+		displayPages($pagesize,$page,$numres,"ajax_searchliefer");
 	}
-	else 
+	else
 		ok("Die Suche nach ".htmlspecialchars($fulltag)." ergab keine Ergebnisse.");
 }
-?>
+?>