Problem z walką z graczem - bład Opcje

[awek520]

Witam. Tworzę taki mały system walki z innymi graczami..

Mam tabele users, gdzie wszystkie dane są zapisane.. No i wyciągłem informacje z bazy o przeciwniku i o atakującym.. No ale ciągle wyskakuje mi że dany gracz nie istnieje.. i można też siebie tak jakby zaatakowac.. a teraz mam taki bład..

[PHP] pobierz, plaintext 
Parse error: syntax error, unexpected T_ENCAPSED_AND_WHITESPACE, expecting T_STRING or T_VARIABLE or T_NUM_STRING in C:\WebServ\httpd\wal_gracz.php on line 10
[PHP] pobierz, plaintext 

Oto kod:

[PHP] pobierz, plaintext 
<?php
if ($_POST['przeciwnik']!='' && $_POST['przeciwnik']!=$_SESSION['login']){
	$przeciwnik=mysql_query("SELECT * FROM users WHERE login=$_POST[$przeciwnik] LIMIT 1");
 
	if(mysql_num_rows($przeciwnik)!==1){
	echo 'Taki gracz nie istnieje!';
}
else {
 
	$atakujacy=mysql_query("SELECT * FROM users WHERE login='$_SESSION['login']' LIMIT 1");
	$atakujacy=mysql_fetch_assoc($atakujacy);
	$przeciwnik=mysql_fetch_assoc($przeciwnik);
 
}
 
}
else if ($_POST['login']!=''){
	echo 'Nie możesz atakowac siebie!';
}
 
?>
 
 
 
<form name="input" action="game.php?a=wal_gracz" method="post">
Przeciwnik: <input type="text" name="przeciwnik" /><br>
<input type="submit" value="Atakuj">
</form>
[PHP] pobierz, plaintext 

Co jest nie tak ?

[daniel1302]

1) Sprawdź jak zabezpieczyć skeypt przed SQL INJECTION
2) Przeczytaj poradnik PHP i zabieraj sie za pisanie gier. Ja kiedyś testowałem grę gdzie ktoś sobie dodawał kase nonstop i nie wiadomo gdzie, testowaliśmy zmienne po koleji i wykryliśmy 2 błędy SQL injection ale to nie było to, bo proceder dalej był aktualny, okozało się po nasłuchu danego usera i sprawdzeniu co robi akcja po akcji, że sprzedawał niesttniejące przedmioty. Więc ludzie nieźle kombinują i wbrew pozorom nie tylko laicy grają w viawww.
3) Linię:

[PHP] pobierz, plaintext 
$przeciwnik=mysql_query("SELECT * FROM users WHERE login=$_POST[$przeciwnik] LIMIT 1");
[PHP] pobierz, plaintext 

zmień na

[PHP] pobierz, plaintext 
$przeciwnik=mysql_query("SELECT * FROM users WHERE login='".$_POST[$przeciwnik]."' LIMIT 1");
[PHP] pobierz, plaintext 

Jeśli wstawiasz jakiś tekst do zapytania SQL musi on być w apostrofie '

http://multimedia.journalism.berkeley.edu/...ning-variables/