Aizsargāšanās no mysql inserta pārrāvumiem.

[Cibiņš]

Sveiki, es atkal te! :D

 

Nu tātad vēršos ar problēmu jo nebija apskaidrība kā aizsargāties no mysql errora kurš cik sapratu ir pārrāvuma dēļ.

 

Mēģinu no formas insertot teikumu

 

They're also very useful to keep the inside of a building cooler during how weather - a much more 
sustainable option than the increasingly-ubiquitous air conditioning

 

respektīvi ' simbols izraisa pārrāvumu inserta funkcijā.

 

$teksts = $_POST['apraksts'];
$text = mysql_real_escape_string($teksts);
$text = stripslashes($teksts);

mysql_query("INSERT INTO tabula(apraksts) VALUES ('$text');") or die(mysql_error());

 

Tiek izvadīta kļūda

 

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server 
version for the right syntax to use near 're also very useful to keep the inside of a 
building cooler during how weather -' at line 1

 

Kā panākt lai šādi pārrāvumi nerastos ja tekstā ir vai nu " vai ' simboli? Ir gadījies ka arī " simbols pārrauj insertu.

Edited April 13, 2011 by Cibiņš

[Val]

Izvāc ārā trešo rindiņu.

[Jackal]

Noņem $text = stripslashes($teksts);

Ar šo $text = mysql_real_escape_string($teksts); tu eskeipo apostrofu, bet ar stripslashes($teksts); uzreiz dari pretējo

Edited April 13, 2011 by Jackal

[codez]

pie tam viens mainīkais saucas $teksts, otrs $text

[briedis]

Es domāju, ka būs runa par transakcijām :D

[codez]

izlasot virsrakstu, es arī tā domāju.

[Faks]

Kodam tagad jaiet bez problēmām (mūžu mācies mūžu dzīvo) šis lai kalpo teu ka piemērs nakotnej .

$text = $_POST['text'];
$text = mysql_real_escape_string($_POST['text']);
$text = stripslashes($_POST['text']);
mysql_query("INSERT INTO tabula(apraksts) VALUES ('".$text."') ") or die(mysql_error());

Edited April 15, 2011 by Faks

[mounkuls]

Kodam tagad jaiet bez problēmām (mūžu mācies mūžu dzīvo) šis lai kalpo teu ka piemērs nakotnej .

$text = $_POST['text'];
$text = mysql_real_escape_string($_POST['text']);
$text = stripslashes($_POST['text']);
mysql_query("INSERT INTO tabula(apraksts) VALUES ('".$text."') ") or die(mysql_error());

Faks...fujjj...

Kā piemērs jau nu noteikti nē.

Izlasi skaidrā ko esi samurgojis, tādam kodam pirmās divas rindiņas vispār ir bezjēdzīgas.

Nemaz jau nerunājot par to, ka trešā rindiņa atkal visu dēlī salaiž.

 

P.S. Atcerējos, ka labāk ir tomēr citēt tādas lietas lai vēlāk nav domstarpību:)

Edited April 15, 2011 by mounkuls

[daGrevis]

Kaut kā tā, bet vispār būtu jāpāriet uz PDO...

 

$text = $_POST['text'];
$text = stripSlashes( $text );
$text = mysql_real_escape_string( $text );
mysql_query( "..." ) or exit( mysql_error() );

[wintermute]

Domāji kaut kā šitā ?

 

function put_text( PDO $pdo )
{
  $text = isset( $_POST['text']) ? $_POST['text'] : '';

  $stmt = $pdo->prepare('INSERT INTO tabula(apraksts) VALUES( :text )');

  $stmt->bindParam(':text', $text, PDO::PARAM_STR);
  $stmt->execute();
}

[Cibiņš]

Noņem $text = stripslashes($teksts);

Ar šo $text = mysql_real_escape_string($teksts); tu eskeipo apostrofu, bet ar stripslashes($teksts); uzreiz dari pretējo

 

NEMELO! :D

 

Ja novāc to tavu herņu tad

<img src="tralalaa">

kam vajadzētu parādīties kā attēls parādās kā

<img src=\"tralalaa\">

piedevm kaa teksts ar slashiem nevis kaa atteels.

[briedis]

NEMELO! :D

 

Ja novāc to tavu herņu tad

<img src="tralalaa">

kam vajadzētu parādīties kā attēls parādās kā

<img src=\"tralalaa\">

piedevm kaa teksts ar slashiem nevis kaa atteels.

 

Izslēdz magic quotes un to stripslashes sūdu vairs nekad nevajadzēs lietot.

http://php.net/manual/en/security.magicquotes.disabling.php

[mad182]

function sanitize($input){
if(is_array($input)){
	foreach($input as $k=>$i){
		$output[$k]=sanitize($i);
	}
} else {
	if(get_magic_quotes_gpc()){
		$input=stripslashes($input);
	}
	$output=mysql_real_escape_string($input);
}
return $output;
}

 

Nevajadzēs ne pielāgot servera konfigu, ne bāzt stripslashes, ne rakstīt ūber garo mysql_real_escape_string katrā vietā :)