Forum PHP.pl

Nie dodaje nowego rekordu ;(

[PHP] pobierz, plaintext 
<?php
include('cfg.php');
if($_POST['creat'] == 1 )
{
 
 
$login = addslashes($_POST['login']);
$pw = addslashes($_POST['password']);
$email = addslashes($_POST['email']);
 
 
 $query = ("INSERT INTO user (id, login, pw, email, date) 
			VALUES ('', '".$_POST['login']."', '".$_POST['password']."', '".$_POST['email']."', '')");
 
echo "DODANE !";
 
   }
 
 
 
echo "
		 <link rel='Stylesheet' type='text/css' href='style.css'>
		 ( Znaki specjalne tkj. $/^&$#@!&*() nie dzialają )
		 <form action='register.php' method=POST>
		 <input class='input' type='text' name='login' maxlength='12'> - Nazwa użytkownika <br /> <br />
		 <input class='input' type='password' name='password' maxlength='8'> - Haslo <br /> <br />
		 <input class='input' type='text' name='email'> - Adres email <br /> <br />
		 <input class='input' type='submit' value='Rejestruj'>
		 <input type='hidden' name='creat' value='1'>
		 </form>
	 ";
 
 
?>
[PHP] pobierz, plaintext 

Czemu uzyles ( i ) przed i po " ?
Teraz po zapytaniu

[PHP] pobierz, plaintext 
<?php
mysql_query($query);
?>
[PHP] pobierz, plaintext 

Prawidłowo ten kod wygląda:

[PHP] pobierz, plaintext 
<?php
include('cfg.php');
if($_POST['creat'] == 1 )
{
   $_POST['login'] = mysql_real_escape_string($_POST['login']);
   $_POST['password'] = mysql_real_escape_string($_POST['password']);
   $_POST['email'] = mysql_real_escape_string($_POST['email']);
	mysql_query('INSERT INTO user (id, login, pw, email, date) VALUES 
('', ''.$_POST['login'].'', ''.$_POST['password'].'', ''.$_POST['email'].'', '')') or die(mysql_error());
   echo 'DODANE !';
}
//...
?>
[PHP] pobierz, plaintext 

I na przyszłość, jak już tworzysz bez potrzebne zmienne to chociaż je używaj!

Ten post edytował hacek 13.07.2008, 10:41:09

To teraz pytanie mogę zrobić to tak żeby błąd wyskakiwał w momencie gdy użytkownik podaje nie właściwie znaki który mogą być atakiem SQL Bo robi sie syf w bazie jak ktoś stara się hackować ;

[PHP] pobierz, plaintext 
<?php
$query = "INSERT INTO user (id, login, pw, email, date) 
			VALUES ('', '$_POST[login]', '$_POST[password]', '$_POST['email']', '')";
 
if(mysql_query($query)) echo "DODANE !";
?>
[PHP] pobierz, plaintext 

Gość to nie ma sensu w przypadku gdy używam mysql_real_escape_string bo nie ma tutaj żadnego warunku odnoszącego się do sprawdzania błędu a zapytanie się zawsze wykonuje czy jest błąd czy nie ^^

Użyj sobie PHPIDS, i ustaw wysyłanie na email i log do pliku i będziesz happy (IMG:http://forum.php.pl/style_emoticons/default/biggrin.gif) Albo naucz się wyrażeń regularnych lub ich szukania w google.pl

Najlepiej chyba funkcją eregi
Przykład dla maila (pisane z palca ale chyba dobrze (IMG:http://forum.php.pl/style_emoticons/default/tongue.gif) ):

[PHP] pobierz, plaintext 
<?php
if (!eregi("^[a-zA-Z0-9._-]{1,30}@[a-zA-Z0-9._-]{1,30}.[a-zA-Z0-9._-]{1,30}$", $_POST[email]))
		   echo 'blad zły format adresu email';
else
		   //[...]
?>
[PHP] pobierz, plaintext 

Teraz jest coś takiego:

[PHP] pobierz, plaintext 
<?php
if(filter_var($email, FILTER_VALIDATE_EMAIL))
{
print 'email is valid';
}
?>
[PHP] pobierz, plaintext 

Nie trzeba bawić się w regexy (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)
Pozdrawiam.

O dzięki na pewno się przyda rozumiem, że doszło to w php5. (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)