Wyszukiwarka ceny od - do Opcje

[sigal2006]

Napisałem sobie bardzo prosty skrypcik wyszukiwania

[PHP] pobierz, plaintext 
 
  $cenaod=$_GET['cenaod'];
  $cenado=$_GET['cenado'];
 
  if($cenaod && $cenado){$wpiscenaoddo="AND ogl_cena BETWEEN '".$cenaod."' AND '".$cenado."' ";}
  elseif($cenaod){$wpiscenaoddo="AND ogl_cena BETWEEN '".$cenaod."' AND '100000000000' ";}
  elseif($cenado){$wpiscenaoddo="AND ogl_cena BETWEEN '0' AND '".$cenado."' ";}
  else{$wpiscenaoddo="";}
 
 
[PHP] pobierz, plaintext 

oczywiście $wpiscenaoddo wpisuje odpowiednie dane do sql_select.

Jak dodane cenę tylko górną $cenado jest ok , problem pojawia się jednak jest jak chce pobrać rekordy w cenach od do oraz tylko od

może ktos mi poriadzi gdzie jest błą albo może jaką inną metodą mogę wykonać coś takiego próbowałem z operatorami matematycznymi ale nei działało

Ok doszedłem sam typ pola sql był Text zamiast INT

[Fifi209]

W dodatku do zapytania podajesz jako string bo w cudzysłowach ;-)

Skrypt podatny na SQL Injection

[sigal2006]

czyli jak zmienić aby było bardziej bezpieczne podaj tylko przykład sma sobie dalej poradzę

[MatKus]

Po pierwsze, zabezpiecz się przed SQL Injection i podobnymi sprawami. Nigdy nie wstawiaj na żywca danych z formularzy czy ciasteczek, bo ktoś złośliwy ci wstawi własny fragment kodu do zapytania i namiesza.

[PHP] pobierz, plaintext 
$cenaod=(float)$_GET['cenaod']; // upewniamy się, że ktoś nie wpisał ceny "abc" albo, co gorsza, jakiegoś kodu SQL do wykonania
$cenado=(float)$_GET['cenado'];
 
$wpiscenaoddo='';
if ($cenaod!=0) $wpiscenaoddo.='AND ogl_cena>'.$cenaod;
if ($cenado!=0) $wpiscenaoddo.='AND ogl_cena<'.$cenado;
[PHP] pobierz, plaintext 

albo opcja 2, w tym wypadku mniej zalecana, bo ceny to liczby i tak też należało by je traktować, ale w przypadku typowego powinno lepiej działać:

[PHP] pobierz, plaintext 
$cenaod=$_GET['cenaod']; 
$cenado=$_GET['cenado'];
 
$wpiscenaoddo='';
if ($cenaod!=0) $wpiscenaoddo.='AND ogl_cena>"'.mysql_real_escape_string($cenaod).'"';
if ($cenado!=0) $wpiscenaoddo.='AND ogl_cena<"'.mysql_real_escape_string($cenado).'"';
[PHP] pobierz, plaintext