Insert Query trägt nicht ein

require · 18. Mai 2013, 22:54

Guten Abend Paradiser,

auch wenn ich ziemlich sicher bin das es wieder mal nur ein dämlicher Denkfehler ist muss ich trotzdem nun fragen...

PHP-Quellcode

$name = htmlspecialchars($_POST["name"]);
$ip = $_SERVER["REMOTE_ADDR"];
$user = $_SESSION["username"];
$date = date("d.m.y");
$time = date("H:i:s");
if($name == ""){echo "Du musst einen Namen angeben!";}else{
$insert = mysql_query("INSERT INTO accounts (name, register, ip, by) VALUES ('$name', '$date', '$ip', '$user')");
}

OR die fällt leider als Option aus.

Hoffe jemand kann mir helfen

Liebe grüße und einen schönen Abend,
require

Manawyrm · 18. Mai 2013, 22:55

ACHTE AUF SQL INJECTION! VERDAMMT NOCHMAL!

Lukas · 18. Mai 2013, 22:57

Stringkonkatenation mit dem .-Operator.

LaMiy · 18. Mai 2013, 23:01

Wie Manawyrm schon etwas übertrieben sagte solltest du zusätzlich auf Injection achten.
(Kann ja sein, dass du es später noch einfügen wolltest)
Zusätzlich würde ich es mit PDO machen.
kushellig.de/prepared-statements-php-data-objects-pdo/ (Hier wird "bind-Param" und PDO gut erklärt)

Zu deinem Problem: Mit "." verknüpfen

PHP-Quellcode

echo "Upload zu " . $url . " erfolgreich !" . $name . "!!";

Edit: Lukas war etwas schneller.

Manawyrm · 18. Mai 2013, 23:02

Ich hab ihm schon 3 mal gesagt, dass er sich gegen SQL Injection schützen soll.
Aber bitte. Soll'er doch machen. :rolleyes:

LaMiy · 18. Mai 2013, 23:04

@Manawyrm

Das sollte auch als Standard gelten, denn man wirft ja quasi auch die Daten der User in die Welt hinaus. Außerdem kann man recht einfach die ganze DB mit ein paar Zeilen löschen.

Edit:
@require

$insert = mysql_query("INSERT INTO accounts (name, register, ip, by) VALUES ('$name', '$date', '$ip', '$user')");

require · 18. Mai 2013, 23:05

Anstatt mir das dauern zu sagen kannst du mir ja auch sagen wie ich diese Lücke schließe, ansonsten habe ich im gesamten CMS alle Strings escaped

@LaMiy
Ich benutze doch garkeine Variable im echo

Manawyrm · 18. Mai 2013, 23:05

Sag ich ja.

Lukas · 18. Mai 2013, 23:06

Strings werden überall mit dem .-Operator verknüpft... da bildet die eine MySQL-Query keine Ausnahme.

Manawyrm · 18. Mai 2013, 23:07

nicht im echo. in der query!

require · 18. Mai 2013, 23:12

LaMiy schrieb:

Edit:
@require
Zitat
$insert = mysql_query("INSERT INTO accounts (name, register, ip, by) VALUES ('$name', '$date', '$ip', '$user')");

Da hat sich nichts geändert..

Ich verstehs nicht.. Ich benutze nie . im Insert -.- In jeder Insert Query die ich bisher geschrieben hatte hats doch auch funktioniert.

Lukas · 18. Mai 2013, 23:17

Du sollst den Punkt nicht in die Query setzen, PHP verknüpft Strings mit dem .-Operator!

Mich überrascht es, dass du keinerlei Fehler bekommst.

LaMiy · 18. Mai 2013, 23:18

Das was ich geschrieben habe war ein Zitat.
Lukas und Manawyrm haben dich auf auf die Zeile deines Fehlers hingewiesen.

Strings werden überall mit dem .-Operator verknüpft... da bildet die eine MySQL-Query keine Ausnahme.

nicht im echo. in der query!

"INSERT INTO accounts (name, register, ip, by) VALUES ('$name', '$date', '$ip', '$user')"

...

Insert Query trägt nicht ein

Insert Query trägt nicht ein

PHP-Quellcode

PHP-Quellcode

LaMiy schrieb:

Ähnliche Themen

4 Benutzer haben hier geschrieben