VPF::Запись в базу MySQL - Форум программистов

warningmax

Дата 26.1.2011, 12:20 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 48
Регистрация: 30.4.2007

Репутация: нет
Всего: нет

Мой первый скрипт обращения к базе ... не пинайте ...
Можете сказать что я неправильно делаю и как сделать запись с формы в базу данных лучше и безопаснее

Код


header('Content-Type: text/html; charset=utf-8');
require_once 'form1.phtml';
$con = mysql_connect("localhost","root","");
mysql_query("set names utf8");
if (!isset($con))
  {
  die('Could not connect: ' . mysql_error());
  }
mysql_select_db("z", $con);
$name = $_POST['name'];
$groups = $_POST['groups'];
$login = $_POST['login'];
$pass = $_POST['pass'];
//Запрос к базе
$sql="INSERT INTO users (name, groups, login, pass)
VALUES
('$_POST[name]','$_POST[groups]','$_POST[login]','$_POST[pass]')";
if (!mysql_query($sql,$con))
  {
  //die('Error: ' . mysql_error());
  }
echo "Данные добавлены в базу";
mysql_close($con)

triclosan

Дата 26.1.2011, 12:23 (ссылка)

(голосов:4)

Загрузка ...

Опытный

Профиль
Группа: Участник
Сообщений: 515
Регистрация: 18.8.2006

Репутация: нет
Всего: 12

пустой пароль - плохо

warningmax

Дата 26.1.2011, 12:24 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 48
Регистрация: 30.4.2007

Репутация: нет
Всего: нет

Цитата(triclosan @ 26.1.2011, 12:23)

пустой пароль - плохо

Это все локально и в учебных целях smile

triclosan

Дата 26.1.2011, 12:38 (ссылка)

(нет голосов)

Загрузка ...

Опытный

Профиль
Группа: Участник
Сообщений: 515
Регистрация: 18.8.2006

Репутация: нет
Всего: 12

ну кавычки можно эскейпить

solenko

Дата 26.1.2011, 12:43 (ссылка)

(нет голосов)

Загрузка ...

Эксперт

Профиль
Группа: Завсегдатай
Сообщений: 1473
Регистрация: 15.1.2006
Где: Украина

Репутация: 34
Всего: 67

Цитата(warningmax @ 26.1.2011, 11:20

)

Можете сказать что я неправильно делаю

Не читали раздел мануала Database Security
Ну а там описано как

Цитата(warningmax @ 26.1.2011, 11:20

)

и как сделать запись с формы в базу данных лучше и безопаснее

написано как раз в этом разделе

--------------------

Ла-ла-ла-ла
Заметьте, нет официального подтверждения, что это не просто четыре слога.

warningmax

Дата 26.1.2011, 12:51 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 48
Регистрация: 30.4.2007

Репутация: нет
Всего: нет

Цитата(solenko @ 26.1.2011, 12:43)

Цитата(warningmax @ 26.1.2011, 11:20

)

Можете сказать что я неправильно делаю

Не читали раздел мануала Database Security
Ну а там описано как

Цитата(warningmax @ 26.1.2011, 11:20

)

и как сделать запись с формы в базу данных лучше и безопаснее

написано как раз в этом разделе

Сейчас почитаю! спасибо smile

topy

Дата 26.1.2011, 17:40 (ссылка)

(голосов:1)

Загрузка ...

Шустрый

Профиль
Группа: Участник
Сообщений: 52
Регистрация: 18.2.2008

Репутация: 1
Всего: 1

Первое правило: никогда не доверяйте данным, пришедшим от пользователя!!! НИКОГДА!!!

Код


$name = $_POST['name']; - это небезопасно
$name = mysql_real_escape_string($_POST['name']); - так намного лучше

И хотя бы так делайте со всеми переменными, пришедшими от пользователя.
Да и зачем вы присваиваете имена переменным, если потом в запросе у вас все равно старые: $_POST['name']
Вставляйте в запрос переменные так:

Код


$sql="INSERT INTO users (name, groups, login, pass) VALUES ('".$name."','".$groups."','".$login"','".$pass."')";

экранированные переменные работают немного быстрее т.к. парсер изначально знает что это переменная, а не строка.
Ну и ; в самом конце потеряли.

Это сообщение отредактировал(а) topy - 26.1.2011, 17:45

warningmax

Дата 16.2.2011, 17:37 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 48
Регистрация: 30.4.2007

Репутация: нет
Всего: нет

Код


if (isset($_POST['in1'])){
$query="INSERT INTO text (text) VALUES ('{$_POST['in1']}')";
mysql_query($query);};

Как сделать чтобы при запуске страницы и обновлении не добавлялись пустые данные

bars80080

Дата 16.2.2011, 23:03 (ссылка)

(нет голосов)

Загрузка ...

прапор творюет

Награды: 1

Профиль
Группа: Завсегдатай
Сообщений: 12022
Регистрация: 5.12.2007
Где: Königsberg

Репутация: 71
Всего: 315

Цитата(warningmax @ 16.2.2011, 16:37

)

Как сделать чтобы при запуске страницы и обновлении не добавлялись пустые данные

проверять данные на пустоту - empty()

warningmax

Дата 14.3.2011, 11:27 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 48
Регистрация: 30.4.2007

Репутация: нет
Всего: нет

Все правильно делаю?

Код


<?php
header('Content-Type: text/html; charset=utf-8');
if (isset($_POST['in1'])){
require_once 'config.php';
$in1 = mysql_real_escape_string($_POST['in1']);
$in2 = mysql_real_escape_string($_POST['in2']);
$query="INSERT INTO data (in1, in2) VALUES ('".$in1."','".$in2."')";
mysql_query($query);
header("Location: index.php");
}
?>
<form method="POST">
    <input type="text" name="in1" value="" />
    <input type="text" name="in2" value="" />
    <input type="submit" />
</form>

Это сообщение отредактировал(а) warningmax - 14.3.2011, 11:30

bars80080

Дата 14.3.2011, 14:34 (ссылка)

(нет голосов)

Загрузка ...

прапор творюет

Награды: 1

Профиль
Группа: Завсегдатай
Сообщений: 12022
Регистрация: 5.12.2007
Где: Königsberg

Репутация: 71
Всего: 315

не проверки на существование $_POST['in2']
плюс, нет проверки на длину данных в переменной. если их будет больше, чем ширина поля в БД - выскочит ошибка

warningmax

Дата 16.3.2011, 13:33 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 48
Регистрация: 30.4.2007

Репутация: нет
Всего: нет

Код


$in1 = mysql_real_escape_string($_POST['in1']);
$in2 = mysql_real_escape_string($_POST['in2']);

Как этот кусок записать в одну строку?

Это сообщение отредактировал(а) warningmax - 16.3.2011, 13:34

bars80080

Дата 16.3.2011, 14:54 (ссылка)

(голосов:2)

Загрузка ...

прапор творюет

Награды: 1

Профиль
Группа: Завсегдатай
Сообщений: 12022
Регистрация: 5.12.2007
Где: Königsberg

Репутация: 71
Всего: 315

Цитата(warningmax @ 16.3.2011, 12:33

)

Как этот кусок записать в одну строку?

Код


$in1 = mysql_real_escape_string($_POST['in1']); $in2 = mysql_real_escape_string($_POST['in2']);

warningmax

Дата 16.3.2011, 15:39 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 48
Регистрация: 30.4.2007

Репутация: нет
Всего: нет

Цитата(bars80080 @ 16.3.2011, 14:54)

Цитата(warningmax @ 16.3.2011, 12:33

)

Как этот кусок записать в одну строку?

Код


$in1 = mysql_real_escape_string($_POST['in1']); $in2 = mysql_real_escape_string($_POST['in2']);

Я наверное неправильно выразился ... я имел в виду в виде массива как записать ...

Clickbeetle

Дата 16.3.2011, 20:00 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 9
Регистрация: 15.3.2011

Репутация: нет
Всего: нет

Если я вас правильно понял, то так:

Код


$in1 = mysql_real_escape_string($_POST['in1']); $in2 = mysql_real_escape_string($_POST['in2']);
$in_array = array($in1,$in2);

bars80080

Дата 16.3.2011, 20:04 (ссылка)

(нет голосов)

Загрузка ...

прапор творюет

Награды: 1

Профиль
Группа: Завсегдатай
Сообщений: 12022
Регистрация: 5.12.2007
Где: Königsberg

Репутация: 71
Всего: 315

нет, ему просто лень писать несколько раз такую длинную функцию

что стоит записать все переменные в массив, а затем прокрутить в цикле, как настоящей программист? загадка

Код


$ar = array('in1', 'in2', 'in3');

$array_to_database = array();

foreach($ar as $v) {
    $array_to_database[$v] = (isset($_POST[$v])) ? mysql_real_escape_string($_POST[$v]) : '';
}

1 Пользователей читают эту тему (1 Гостей и 0 Скрытых Пользователей)
0 Пользователей:
« Предыдущая тема \| PHP: Общие вопросы \| Следующая тема »