[PHP]Pdo problem z datatime Opcje

[xxdrago]

Witam, dzisiaj wziąłem się za naukę PDO w mysql , problem polega na tym , że w bazie mam pole "DATATIME" , i za bardzo nie wiem, jak mam dodać parametr NOW(); przy zapytaniu. Można prosić o pomoc? poniżej daje skrypt:

[PHP] pobierz, plaintext 
$stmt = $pdo->prepare('INSERT INTO `pliki` (`nazwa`, `typ`, `data`, `ip`,`przegladarka`,`prv` )    VALUES(
                                :nazwa,
                                :typ,
                                :data,
                                :ip,
                                :przegladarka,
                                :prv)
                                ');
 
 
    $stmt->bindValue(':nazwa', 'NAZWA', PDO::PARAM_STR);                // Nazwa pliku
    $stmt->bindValue(':typ', 'rar', PDO::PARAM_STR);
    $stmt->bindValue(':data', 'NOW();', PDO::PARAM_STR);
    $stmt->bindValue(':ip', $_SERVER['REMOTE_ADDR'], PDO::PARAM_STR);
    $stmt->bindValue(':przegladarka', $_SERVER['HTTP_USER_AGENT'], PDO::PARAM_STR);
    $stmt->bindValue(':prv', '1', PDO::PARAM_INT);
 
    $stmt->execute();
[PHP] pobierz, plaintext 

[--dox--]

[PHP] pobierz, plaintext 
$stmt->bindValue(':data', NOW(), PDO::PARAM_STR);
[PHP] pobierz, plaintext 

[xxdrago]

Dzięki za odpowiedź, próbowałem tak i tak ale dalej nie działa:

$stmt->bindValue(':data',' NOW()', PDO::PARAM_STR); // W bazie 0000-00-00 00:00:00

$stmt->bindValue(':data',NOW(), PDO::PARAM_STR); // Zwraca , że funkcja nie istnieje.


Pozdrawiam

[--Dox--]

[PHP] pobierz, plaintext 
$stmt = $pdo->prepare('INSERT INTO `pliki` (`nazwa`, `typ`, `data`, `ip`,`przegladarka`,`prv` )    VALUES(
                                :nazwa,
                                :typ,
                                now(),
                                :ip,
                                :przegladarka,
                                :prv)
                                ');
 
 
    $stmt->bindValue(':nazwa', 'NAZWA', PDO::PARAM_STR);                // Nazwa pliku
    $stmt->bindValue(':typ', 'rar', PDO::PARAM_STR);
    $stmt->bindValue(':ip', $_SERVER['REMOTE_ADDR'], PDO::PARAM_STR);
    $stmt->bindValue(':przegladarka', $_SERVER['HTTP_USER_AGENT'], PDO::PARAM_STR);
    $stmt->bindValue(':prv', '1', PDO::PARAM_INT);
 
    $stmt->execute();
[PHP] pobierz, plaintext 

Spróbuj tak od razu dać bez bindowania.

[Damonsson]

[SQL] pobierz, plaintext 
now()
[SQL] pobierz, plaintext 

to funkcja MySQL, jeśli chcesz aktualną datę, to musisz podać

[PHP] pobierz, plaintext 
date()
[PHP] pobierz, plaintext 

w odpowiednim formacie. Lub bez bindowania, od razu tak jak podał kolega wyżej.

[xxdrago]

Dziękuje,
rozumiem, że jak dodaje dane przez to bindowanie to nie muszę ich filtrować? przed atakiem injection i XSS?

[Damonsson]

Przed SQL injection jesteś teoretycznie w 100% chroniony, jeśli używasz MySQL podawanie PDO::PARAM_STR i INT jest zbędne, baza sama wie jakiego typu daną ma otrzymać, bo definiujesz to w bazie danych i innej wartości nie przyjmie (int, varchar itp.).

Co do XSS to bindowanie nie ma z tym praktycznie nic wspólnego. Musisz odpowiednio filtrować dane.