Lūdzu palīdziet izvilkt datus

[LinuX]

Sveiki palīdziet lūdzu pareizi izvilkt datus no datubāzes, man vajag izvilkt tikai vienu rindu no datubāzes piemēram rindu kur id ir vienāds ar 1. Paldies jau iepriekš.

$txt = $_GET['txt'];

mysql_connect("$host", "$user", "$pass") or die("cannot connect db");
mysql_select_db("$db_name") or die ("cannot select db");

$sql = "SELECT txt FROM $tbl_name WHERE id = '$_GET[\'id\']' ";
$result = mysql_query($sql);

while($rows = mysql_fetch_array($result))
{
$check_name = strip_tags($rows['txt']);
$wrap = wordwrap($check_name, 100, "<br>");

	echo $wrap;
}

Edited April 8, 2010 by LinuX

[Turecky]

Šajā rindiņā liekas ka vajadzēja rakstīt šādi, ja atmiņa neviļ:

Nevis:

$sql = "SELECT txt FROM $tbl_name WHERE id = '$_GET[\'id\']' ";

Bet:

$sql = "SELECT txt FROM $tbl_name WHERE id = '$_GET[id]' ";

 

Bet var jau arī vispirms:

$id = $_GET['id'];

Un tad:

$sql = "SELECT txt FROM $tbl_name WHERE id = '$id' ";

[LinuX]

stradā, izrādās kļūda bija citā failā, līdz ar to tas fails nosūtija nepareizus datus.

Edited April 8, 2010 by LinuX

[kirils]

papēti, kas notiks, ja iekš $_GET['id'] buus, piemēram vērtība ' or (truncate xxxx) or '

 

$_GET['id'] u.c. vajadzētu apstrādāt ar addslashes() vai mysql_escape_string() pirms padošanas uz sql.

[codez]

Ja id ir vesels skaitlis, tad var izmantot typecastu pluss erroru atslēgšanu, ja gadījumā GET mainīgais nav padots, tad nevajag real_escape.

 

$id=(int)@$_GET['id'];