[MySQL][PHP] Zmienna $_GET Opcje

[JulekJP]

Witam, mam dość skomplikowany problem dla mnie i nie wiem jak go wyrazić.. Po prostu chce zrobić zmienna GET gdzie w adresie np dodam ?krok=edytuj&id=[id_usera] to mi wyświetli dane z bazy danych tylko o id usera podanym w adresie(get). Prosił bym o pomoc. Poniżej podaje skrypt pliku..

[PHP] pobierz, plaintext 
<?php 
ob_start();
require("../manicore.php");
require("../header.php"); 
if (!$datauser['user_level'] == 103)
{	header("Location: ../login.php"); exit; } else {
$krok = $_GET['krok'];
$result = mysql_query("SELECT * FROM user ORDER BY user_name");
$data = mysql_fetch_assoc($result);
 
	echo "<div id=\"conten\">
		  <div id=\"conten_01\">";
		  if ($krok == "edytuj&amp;id=".$data['id'])
		  {
			  echo " czesc";
		  }
		  if (!$krok)
		  {
?>
<table width="70%" border="0">
  <tr>
    <td><strong>Nazwa klienta</strong></td>
    <td align="center"><strong>Typ</strong></td>
    <td><strong>Opcje</strong></td>
  </tr>
<?php
			 for($i = 0; $i < mysql_num_rows($result); $i++)
			 {
				 	$data = mysql_fetch_assoc($result);
					echo "<tr>
							<td>".$data['user_names']." ".$data['user_name']."</td>
							<td>".getuserlevel($data['user_level'])."</td>
							<td>[edytuj] | [usuń]</td>
						  </tr>";
			 }
 
		  }
			echo "</table>";
			echo "<br class=\"clearfloat\" />";
		  echo "</div>";
} 
require("../footer.php");
ob_end_flush();
?>
[PHP] pobierz, plaintext 

Jak widać zrobiłem to tak.. ;|

[MateuszS]

[PHP] pobierz, plaintext 
 
if(isset($_GET["edytuj"]))
{
   if(isset($_GET["id_usera"])) {
      //tu ten kod edycji,
  }
}
 
[PHP] pobierz, plaintext 

[JulekJP]

Zrobiłem tak

[PHP] pobierz, plaintext 
if($_GET['edycja'])
			{
				echo "problem";
				$result = mysql_query("SELECT * FROM user WHERE id=".$_GET['edycja']." ");
				$user = mysql_fetch_assoc($result);
				echo $user['user_name'];
			}
[PHP] pobierz, plaintext 

i w adresie wpisując ?edycja=2 nie wyświetla mi danych a jak dam swoje id czyli 1 to wyświetla mi dane ;|

[luck]

Na pewno masz w bazie usera o id=2? Co się dzieje jeśli na sztywno podasz takie id w zapytaniu? Jaki jest wynik?
BTW. W wolnym czasie poczytaj o SQL Injection. Serio, poczytaj.

[JulekJP]

A no sorry nie ma id 2 moja wina.. dlaczego mam poczytać o SQL Injection? Coś słyszałem o tym

[luck]

Choćby dlatego, że pozwolenie na wysłanie do bazy takiego zapytania:

[SQL] pobierz, plaintext 
mysql_query("SELECT * FROM user WHERE id=".$_GET['edycja']." ")
[SQL] pobierz, plaintext 

to programistyczne samobójstwo. To są bardzo poważne rzeczy, dlatego zwracam Ci na nie uwagę.

[JulekJP]

No jedna osoba mi pisała.. Przeczytałem sobie o SQL Injection i wiem jak wykorzystać to ale jak zabezpieczyć się przed tym to nadal nie wiem.. Morzę masz jakąś strone gdzie dowiem sie jak zabespieczyć? Albo ty morze mi pomożesz?

[luck]

Polecam ten wątek: Temat: SQL Injection Insertion
A na początek możesz dać choćby

[PHP] pobierz, plaintext 
"SELECT * FROM user WHERE id=".mysql_real_escape_string($_GET['edycja'])
[PHP] pobierz, plaintext 

[JulekJP]

Cały kod pliku wygląda tak.. Czy jest dobrze?

[PHP] pobierz, plaintext 
<?php 
ob_start();
require("../manicore.php");
require("../header.php"); 
if (!$datauser['user_level'] == 103)
{	header("Location: ../login.php"); exit; } else {
 
	echo "<div id=\"conten\">
		  <div id=\"conten_01\">";
 
 
			if($_GET['edycja'])
			{
				$edycja = mysql_real_escape_string($_GET['edycja']);
				$result = mysql_query("SELECT * FROM user WHERE id=$edycja ");
				$user = mysql_fetch_assoc($result);
				echo $user['user_name'];
			} else {
?>
<table width="70%" border="0">
  <tr>
    <td><strong>Nazwa klienta</strong></td>
    <td align="center"><strong>Typ</strong></td>
    <td><strong>Opcje</strong></td>
  </tr>
<?php
			 $result = mysql_query("SELECT * FROM user ORDER BY user_name");
			 for($i = 0; $i < mysql_num_rows($result); $i++)
			 {
				 	$data = mysql_fetch_assoc($result);
					echo "<tr>
							<td>".$data['user_names']." ".$data['user_name']."</td>
							<td>".getuserlevel($data['user_level'])."</td>
							<td>[edytuj] | [usun]</td>
						  </tr>";
			 }
 
		  }
			echo "</table>";
			echo "<br class=\"clearfloat\" />";
		  echo "</div>";
} 
require("../footer.php");
ob_end_flush();
?>
[PHP] pobierz, plaintext 

Ten post edytował JulekJP 11.03.2010, 20:45:35