En mysql fejl, eller php fejl?

Har ikke mulighed for at teste nogle scripts pt, men dette hjælpe:

<?php
$conn = mysql_connect("$host","$user","$pass");
mysql_select_db("$db",$conn);



$navn = $_POST['navn'];
$mail = $_POST['mail'];
$hp = $_POST['hp'];
$tekst = $_POST['tekst'];
$id = $_GET['id'];

$sql = "UPDATE kommentar SET navn='". $navn ."' , mail='". $mail ."'  , hp='". $hp ."' , tekst='". $tekst ."' where id = " . $id;


mysql_query("$sql,$connection") or die(mysql_error());
mysql_close($connection) or die(mysql_error());

?>

- Koden ser anderledes ud ja, det er fordi jeg har optimeret din sikkerhed. Den led gevaldigt. Måske burde du læse lidt om emnet sql injections :-)

udvikler > hvad er det helt præcist du mener at have gjort for at forebygge sql injections? så vidt jeg kan se har du bare gemt post værdien er nogle variable inden sql-strengen samles. det ser ud til at du har glemt noget ;)

Ak ja, jeg glemte mysql_real_escape_string
Grunden til det er at jeg mistede det første script jeg lavede, og da jeg skrev det igen i anden omgang gik det vidst lidt for stærkt.

Tak for påmindelsen..

Mit script skulle gerne se således ud nu:

<?php
$conn = mysql_connect("$host","$user","$pass");
mysql_select_db("$db",$conn);

$navn = mysql_real_escape_string($_POST['navn']);
$mail = mysql_real_escape_string($_POST['mail']);
$hp = mysql_real_escape_string($_POST['hp']);
$tekst = mysql_real_escape_string($_POST['tekst']);
$id = mysql_real_escape_string($_GET['id']);

$sql = "UPDATE kommentar SET navn='". $navn ."' , mail='". $mail ."'  , hp='". $hp ."' , tekst='". $tekst ."' where id = " . $id;

mysql_query("$sql,$connection") or die(mysql_error());
mysql_close($connection) or die(mysql_error());
?>

Ahem:

$conn = mysql_connect("$host","$user","$pass");

og

mysql_query($sql,$connection) or die(mysql_error());
mysql_close($connection) or die(mysql_error());

?

De to sidste skal vel være:

mysql_query($sql,$conn) or die(mysql_error());
mysql_close($conn) or die(mysql_error());

udviklers pointe med mysql_real_escape_string er dog stadig valid

<?php
include("tjek_logind.php");
include("denner.php");
$host = ???;
$user = ???;
$pass = ???;
$db = ???;
$conn = mysql_connect($host,$user,$pass);
mysql_select_db($db);
$sql = "UPDATE kommentar SET navn='". $_POST['navn'] ."' , mail='". $_POST['mail'] ."'  , hp='". $_POST['hp'] ."' , tekst='". $_POST['tekst'] ."' where id = " . $_GET['id'];
mysql_query($sql) or die(mysql_error());
mysql_close();
?>

Det burde vaere fint! Om du lukker eller ej, med mysql_close() vil den alligevel blive lukket (med mindre der er mere end 20 abne database forbindelser, talt ud fra php 4, og ikke 5, saa jeg ved ikke hvor mange ,der er i php5). Og den senest aabne forbindelse vil blive brugt. mysql_close() er oftest ligegyldig.

I Oevrigt kan du i php bruge variabler direkte i sql saetninger.. f.eks:

SELECT * FROM $tabel WHERE $felt = '$argument'

..Du behoever ikke konkatenere med '".$blah."'

Endvidere kan du skifte include ud med require, hvis du vil have php compileren til at kaste en fejl hvis den ikke kan finde filerne (a'la din mysql_error()).

Blot et par ord... :)

legende.dk er det med vilje at du tillader SQL injections, eller har du bare aldrig hørt om input escaping ?

www.php.net/addslashes
www.php.net/mysql_real_escape_string (bedst)
www.php.net/mysql_escape_string

oh, det var allerede påpeget i posten :p havde jeg overset.

Udvikler> Nu skriver den; "You have an error in your SQL syntax. Check the manual that corresponds to your MySQL server version for the right syntax to use near '' at line 1"

<?php
$conn = mysql_connect("$host","$user","$pass");
mysql_select_db("$db",$conn);

$navn = mysql_real_escape_string($_POST['navn']);
$mail = mysql_real_escape_string($_POST['mail']);
$hp = mysql_real_escape_string($_POST['hp']);
$tekst = mysql_real_escape_string($_POST['tekst']);
$id = mysql_real_escape_string($_GET['id']);

$sql = "UPDATE kommentar SET navn='". $navn ."' , mail='". $mail ."'  , hp='". $hp ."' , tekst='". $tekst ."' where id = " . $id;

mysql_query("$sql,$connection") or die(mysql_error());
mysql_close($connection) or die(mysql_error());
?>
;|

Lav en echo $sql før mysql_query så vi kan se hvad den indeholder

UPDATE kommentar SET navn='PsychoKatten.Dk ' , mail='NoMail@PsychoKatten.Dk ' , hp='PsychoKatten.Dk' , tekst='Vær venlig at kommenterer til denne nyhed (:

Med venlig hilsen,
PsychoKatten.Dk

NB: Dette er en automatisk besked af PsychoKatten.Dk.\r\ntest' where id = 2You have an error in your SQL syntax. Check the manual that corresponds to your MySQL server version for the right syntax to use near '' at line 1

mysql_query("$sql,$connection") or die(mysql_error());
mysql_close($connection) or die(mysql_error());

skal være:

mysql_query($sql,$conn) or die(mysql_error());
mysql_close($conn) or die(mysql_error());

Eller blot:

mysql_query($sql) or die(mysql_error());

Ah tak, nu virker det :) Smæk svar :)

Ok :)