[JavaScript][MySQL][PHP][JS] Problem z dodaniem do bazy danych formularza, Jak za pomocą input type="hidden", js i formularza html dodać Opcje

[krzyzaq]

Witajcie,

mam, pewnie dla wielu mały, problem o nast naturze.
1. mam listę, w której to jedno z pól jest typu option/select i wygląda następująco:

[PHP] pobierz, plaintext 
echo '<select id="StatusOpt'.$res['Nr'].'" name="StatusOpt" width="10" onChange="offerZmStanu(\'StatusOpt'.$res['Nr'].'\', '.$res['Nr'].')">';
					if ($OrdStat[0] == "Otwarte") echo '<option name="Otwarte" SELECTED>Otwarte</option>'; else echo '<option name="Otwarte" >Otwarte</option>'; 
					if ($OrdStat[0] == "Zrealizowane") echo '<option name="Zrealizowane" SELECTED>Zrealiz.</option>'; else echo '<option name="Zrealizowane">Zrealiz.</option>'; 
					if ($OrdStat[0] == "Zablokowane") echo '<option name="Zablokowane" SELECTED>Zabl.</option>'; else echo '<option name="Zablokowane">Zabl.</option>';
					if ($OrdStat[0] === false) echo '<option name="" SELECTED>Brak Zam.</option>'; 
					echo '</select>';
[PHP] pobierz, plaintext 

2. do tego utworzyłem formularz z polem ukrytym w którym po zmianie wartości ww listy zapisuje się zapytanie mysql i formularz dodaje sie do bazy:

[PHP] pobierz, plaintext 
function offerZmStanu(Id, Nr)
{
	var id = Id;
	var nr = Nr;
	//alert(id + ' ' + nr);
	//var id = Id;
	var state = document.getElementById(id).value;
	//alert(state);
	if(state == 'Zrealiz.')
		state = 'Zrealizowane';
 
	if(state == 'Zabl.')
		state = 'Zablokowane';
	document.getElementById('UpdStat').value = "update tzamowienia set Status = '" + state + "' where offerId = " + nr;
	//	document.getElementById('UpdStat').value = "update toffers set offerStat = 'NAktywny' Where Id = '" + id + "'";
	//alert("update toffers set offerStat = 'Aktywny' Where Id = '" + id + "'");	
	document.getElementById('FOfferStat').submit();
}
[PHP] pobierz, plaintext 

Problem jest antury takiej, że update się nie robi, gdyż w poleceniu wysyłanym do bd PHP dorzuca ukosniki przed warością pola Status i zamiast:

[SQL] pobierz, plaintext 
UPDATE tzamowienia SET STATUS = 'Otwarte' WHERE offerId = 147
[SQL] pobierz, plaintext 

próbuje wykonać:

[SQL] pobierz, plaintext 
UPDATE tzamowienia SET STATUS = \'Otwarte\' where offerId = 147
[SQL] pobierz, plaintext 

a przynajmniej tak wyświetla

[PHP] pobierz, plaintext 
var_dump($POST)
[PHP] pobierz, plaintext 

czy jest jakiś sposób żeby to ogarnąć w zaprezentowany powyżej sposób czy muszę przepisać kod i kontrolując zawartość zmiennej formularza ukrytego po submicie z poziomu php zmienić wartość pola w bd?

pozdrawiam
Marcin

[PrinceOfPersia]

Może lepiej żeby nie wyłączał, przesyłając ajaxem niezabezpieczone zapytanie SQL, to otwarcie się na ataki. Tak jak powiedział mój przedmówca - wyślij do serwera same dane i rodzaj akcji - a po stronie serwera wygeneruj zapytanie.