Forum PHP.pl

Witam! Tworzę stronę na której każdy mógłby coś napisać. Teksty trafiają do bazy danych, tak więc przydało by się to zabezpieczyć przed np SQL Injection, więc postanowiłem użyć preg_replace, żeby wyciągało jedynie litery i cyfry, ale oczywiście nie działa (IMG:style_emoticons/default/smile.gif) . Oto kod:

[PHP] pobierz, plaintext 
$nadawca = $_POST['nadawca'];
$tresc = $_POST['tresc'];
$adresat = $_POST['adresat'];
 
$tresc2 = wordwrap($tresc, 50, "\n", true); //dzielenie długich ciągów znaków
$tresc3 = preg_replace("/[^A-Z0-9]/", "", $tresc2); //pobieranie z textu znaków
 
 
if(!empty($nadawca) && !empty($adresat) && !empty($tresc)){
mysql_query("INSERT INTO `pytania` (nadawca, tresc, odbiorca) VALUES('$nadawca','$tresc3','$adresat')") or die("nie udało się wysłać! Spróbuj jeszcze raz!");
header("Location: kontakt.php?co=wyslano");  
} 
[PHP] pobierz, plaintext 

Liczę na pomoc (IMG:style_emoticons/default/smile.gif) Pozdrawiam.

Ten post edytował Th0e 3.03.2013, 19:31:27