Forum PHP.pl

Jak zrobić aby dane do bazy były dodane po przejściu przez mysql_real_escape_string, jeżeli mam taki kod:

[PHP] pobierz, plaintext 
$wynik = "INSERT INTO engine_news (news_author_id, news_title, news_body, news_date_submitted) 
                      VALUES ('" . $_SESSION['user_id'] . "', '" . $_POST['news_title'] . "' , '" . $_POST['news_body'] . "', '" . date("Y-m-d H:i:s", time()) . "')";
       $result = mysql_query($wynik)
       or die("Niepoprawne zapyatnie: " . mysql_error());
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
$_POST['key'] = mysql_real_escape_string($_POST['key']);
[PHP] pobierz, plaintext 

http://php.net/manual/pl/function.mysql-re...cape-string.php

a jest możliwość, aby mysql_real_escape_real było w zapytaniu które jest w zmiennej $wynik ?

mysql_escape_real_string ma za zadanie usuniecie nieporzadanych znakow, dlatego lepiej wyczyscic wczesniej $_posta z tych brzydkich rzeczy a dopiero pozniej wstawiac je do zapytania

przeszukasz sobie na szybko tym:

[PHP] pobierz, plaintext 
foreach ($_POST as $key => $value) {
    $_POST[$key] = mysql_real_escape_string($value);
  } 
[PHP] pobierz, plaintext 

najlepiej zapoznaj sie z PDO albo ADODB, tam sa juz uzyte zabezpieczenia przeciwko sql injection ;-)

Ten post edytował bumfank 31.10.2009, 21:34:06