Forum PHP.pl

Oto fragment kodu z mojego scryptu

[PHP] pobierz, plaintext 
<?php
if (!empty($_POST['wiadomosc']) && !empty($_POST['user_login']) ) {
$login=$_POST['user_login'];
$wiad=$_POST['wiadomosc'];
$pytanie = "INSERT INTO `users` ( user_id , user_login , wiadomosc ) VALUES 
(NULL , '$login', '$wiad')";
?>
[PHP] pobierz, plaintext 

I mój problem polegał na tym że jak chciałem bezpośrednio w zapytanie sql wstawić te dwie zmienne z $_POST to ciągle wywalało mi jakieś błędy składni a gdy utworzyłem sobie najpierw te dwie zmienne pomocnicze $login i $wiad to za ich pomocą już bez problemu wpisuje w SQL. I moje pytanie brzmi jak powinna wyglądać prawidłowa składnia jakbym chciał wstawić bezpośrednio te zmienne $_POST bez zmiennych pomocniczych. Pozdrawiam

[PHP] pobierz, plaintext 
<?php
$sql = "INSERT INTO `table` VALIES ('" . $POST['name'] . "')";
?>
[PHP] pobierz, plaintext 

Tylko licz się z tym ze jest to dość niebezpieczne, nie filtrujesz danych zapisywanych do bazy.

Niech Cię ręka boska broni przed wstawianiem otrzymanych zmiennych bezpośrednio do zapytania!
Poszukaj sobie o sql injection - trochę nie to co chciałeś co prawda, ale się przyda.

Nie wiem jak dla innych, dla mnie jest dużo lepiej, jeśli zmienne wyrzucam poza string.

[PHP] pobierz, plaintext 
<?php
$pytanie = "INSERT INTO `users` ( user_id , user_login , wiadomosc ) VALUES (NULL , ".$_POST['user_login'].", ".$_POST['wiadomosc'].")";
?>
[PHP] pobierz, plaintext 

Ale jak już pisałam - to coś jest podatne na ataki - osoba która się zna może usunąć Ci całą bazę danych!

@edit
Kurcze, znowu spóźniona (IMG:http://forum.php.pl/style_emoticons/default/tongue.gif)

Ten post edytował Shili 8.06.2008, 13:17:45

[PHP] pobierz, plaintext 
<?php
$pytanie = "INSERT INTO `users` (user_login, wiadomosc) VALUES ('{$login}', '{$wiad}');";
?>
[PHP] pobierz, plaintext 

albo

[PHP] pobierz, plaintext 
<?php
$pytanie = "INSERT INTO `users` (user_login, wiadomosc) VALUES ('".$login."', '".$wiad."');";
?>
[PHP] pobierz, plaintext 

Chyba, że na serwerze jest włączone gpc_magic_quotes (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

@up
Właśnie niekoniecznie ^^
I przy magic quotes i addslashes też można narobić sporo zamieszania (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)

Ciekawe jak skoro wszystkie przekazane zmienne są filtrowane i żadnego SQL nie da się wykonać. Jeśli znasz jakiś sposób to opisz mi to na PW :]

Dzieki za pomoc (IMG:http://forum.php.pl/style_emoticons/default/smile.gif) Już sie nawet zarejestrowałem bo widzę że forum jest bardzo wartościowe.