Meget simpel insert into - virker ikke, hvorfor ik'?

Der mangler vist en single quote og parentes.

$result = mysql_query("INSERT INTO pjs_projekter(projektnavn) VALUES('" . $_POST['projektnavn'] . "')", $connection);

Og saa skal du nok kigge paa prepared statement og andre maader at beskytte sig mod SQL injection.

#2 Prepared statements burde ikke være nødvendigt i nyere versioner af PHP...

Omvendt prepared statement er kun muligt i nyere versioner af PHP.

Min pointe er at _GET og _POST variables allerede er beskyttet mod SQL injections i nyere versioner af PHP, så det ikke burde være nødvendigt at køre mysql_real_escape_string eller lign. på din string inden du benytter string'en i SQL.

Ah hva ??

GPC er en oldgammel feature. Den er deprecated i PHP 5.3 og vil blive fjernet i PHP 6.0.

Den efterlader hul så store som ladeporte i applikationen fordi:
- escaping er database specfikt (og sågar encoding specifikt)
- data kan komme andre steder fra end GET og POST

Den kan på det bestemtste frarådes at basere sig på den.

Prepared statement er vejen fremad.

Super! men hvis jeg ønsker flere "værdier" end bare "projektnavn"

Kan man så gøre lala sådan her!?


$result = mysql_query("INSERT INTO pjs_projekter (
projektnavn;
kontaktnavn;
firmanavn;
kontoradresse)&&_

VALUES('
" . $_POST['projektnavn' &] . "
" . $_POST['kontaktnavn' &] . "
" . $_POST['firmanavn' &] . "
" . $_POST['kontoradresse' &] . "

')", $connection);

Jeg har ikke lige checket for quotes og kommaer, men ideen er rigtig.

okay tak ;)


Hvis jeg vil tjekke om den samme "værdien/navn" findes i DB'en - hvad skal jeg tilføje til min SQL (vis herunder)??

$result = mysql_query("INSERT INTO pjs_projekter(navn) VALUES('" . $_POST['navn'] . "')", $connection);

Du kan hente med en SELECT.

Men hvis du vil forhindre duplikater er det bedre at saette et unikt index paa feltet.

Okay, Kan du evt. give et eksempel på dette? - Så forstår jeg måske lidt bedre?

Du sætter et unikt index på i PHPMyAdmin eller hvad du nu bruger til at administrere database med.

all set ?

Bare skriv et "svar" - de få point... -