Forum PHP.pl

Witam,

jak powinny wyglądać prawidłowe zapytania do bazy danych MySQL?

Zwykle używam takich:

[PHP] pobierz, plaintext 
<?php
$query  = 'SELECT pole FROM tabela';
$query  = mysql_query($query);
$result = mysql_fetch_array($query);
?>
[PHP] pobierz, plaintext 

W zapytaniu nie ma zmiennych, więc używam: ' '.

Ale jak powinno wyglądać takie zapytanie (co w nim należy poprawić)?

[PHP] pobierz, plaintext 
<?php
$query  = "SELECT pole FROM tabela WHERE id = '$_GET['wartosc']'";  // wiem, że to jest źle
$query  = mysql_query($query);
$result = mysql_fetch_array($query);
?>
[PHP] pobierz, plaintext 

Ten post edytował nospor 11.04.2006, 08:28:02

zabezpieczenia przed atakami:
http://forum.php.pl/index.php?showtopic=23258

umiejetnosc wstawiania zmiennych do stringu:
http://pl.php.net/manual/pl/language.types.string.php
oraz
http://pl.php.net/manual/pl/language.operators.string.php

W podanych przez ciebie przykładach nie było wzmianki o takim przypadku

[PHP] pobierz, plaintext 
<?php
$query  = "SELECT pole FROM tabela WHERE id = '$_GET['wartosc']'";
?>
[PHP] pobierz, plaintext 

a jedynie o takim

[PHP] pobierz, plaintext 
<?php
$zmienna = $_GET['wartosc'];
$query  = "SELECT pole FROM tabela WHERE id = '$zmienna'";
?>
[PHP] pobierz, plaintext 

Ale po co dodawać kolejną linię kodu jak to na pewno można poprawić? Mogę prosić o poprawioną linijkę?

Jakbys nie zauwazyl, to podalem ci jeszcze linki do manuali. zapoznaj sie z laski swojej z nimi, a bedziesz wiedzial jak to poprawic

Czyli tak jest poprawnie?

[PHP] pobierz, plaintext 
<?php
$query  = "SELECT pole FROM tabela WHERE id = '".$_GET['wartosc']."'";
?>
[PHP] pobierz, plaintext 

Teraz z kolei jak już zmienna nie jest bezpośrednio w wyrażeniu przydałoby się opuścić podwójny cudzysłów.

[PHP] pobierz, plaintext 
<?php
$query  = 'SELECT pole FROM tabela WHERE id = ''.$_GET['wartosc'].''';
?>
[PHP] pobierz, plaintext 

Czy nadal jest coś źle?

Ten post edytował nexis 11.04.2006, 08:26:43

No jesli masz gdziesz ataki typu sql injection - to tak a wzasadzie to prawie, gdyz zakladam ze id to liczba,a liczb w mysql nie bierze się w ciapki

[PHP] pobierz, plaintext 
<?php
 
$query  = 'SELECT pole FROM tabela WHERE id = '.((int)$_GET['wartosc']);
 
?>
[PHP] pobierz, plaintext 

ale to wszytko bylo w linkach. wystarczylo zlozyc

przenosze na przedszkole

A jeśli $id nie będzie liczbą i po warunku jeszcze będzie coś w zapytaniu, np.:

[PHP] pobierz, plaintext 
<?php
$query  = 'SELECT pole FROM tabela WHERE id = ''.$_GET['wartosc'].'' ORDER BY id';
?>
[PHP] pobierz, plaintext 

To jest poprawne?

Ten post edytował nexis 11.04.2006, 08:35:01