DevProTalk - PHP & INSERT INTO mySQL ne radi :(

DevProTalk (http://www.devprotalk.com/index.php)

- PHP (http://www.devprotalk.com/forumdisplay.php?f=9)

- - PHP & INSERT INTO mySQL ne radi :( (http://www.devprotalk.com/showthread.php?t=1502)

PHP & INSERT INTO mySQL ne radi :(

Pozdrav ljudi, eto da i ja imam jedan problem pa mi treba mala pomoc :(
Problem je u sledecem:

Kôd:

        $query = "INSERT INTO Client (fname, lname, email, address, tel, country, zip)

         VALUES ($custom_First_Name, $custom_Last_Name, $from, $custom_Address,

                $custom_Phone_Number, $custom_Country, intval($custom_Post_Code)";



        $result = mysql_query($query) or die(mysql_error());

jednostavno nece da upishe podatke u tabelu :(

nije problem oko dozvola jer user koji se konektuje na bazu ima sve privilegije. A i sem toga cudno mi je jer SELECT query radi bez problema.
A shto je najveci problem ne vraca nikakav error. Zbunjen sam skrozz:1050: :1092:

Da li znate shta bi mogao da bude problem, poshto mi je to veoma neophodno, a nece da radi.

Unapred hvala.

Može biti da imaš više polja u tabeli nego što si uključio u query.

Pa nije ni cudo da ti ne radi kad nisi stavio nijdno string polje unutar navodnika. Dakle, treba:

Kôd:

$query = "INSERT INTO Client (fname, lname, email, address, tel, country, zip)

         VALUES ('$custom_First_Name', '$custom_Last_Name', '$from', '$custom_Address',

                '$custom_Phone_Number', '$custom_Country', '$custom_Post_Code' ";

Da, hvala. to je u sushtini bio problem.

Samo pripazi šta će da se desi ako u samim vrednostima promenljivih imaš apostrof... ;)

Da znam, provereno vec ;) ako bude imalo onda je SQL injection ;)

Citat:

Originalno napisao LiquidBrain

Da znam, provereno vec ;) ako bude imalo onda je SQL injection ;)

PHP kôd:


		
			
function escape_sql($text) {

    // return $text;

    $text = str_replace("\\", "\\\\", $text);

    return str_replace("'", "''", $text);

}



function escape_sql($string) {

  return get_magic_quotes_gpc() ? $string : addslashes($string);

}

i jos hiiiiiiljade varijanti :)

To plus regularni izrazi da se uverim da neko nije pokushao neshto... Ako jeste odma logujem IP :)

Samo par tipova, možda nekom bude koristilo:

Stripovanje slasheva treba odraditi odmah, negde u headeru. Samo stripovanje pri interakciji sa bazom može doveste da se (nepravilni) stringovi sa slashevima sačuvaju u neki drugi "izvor" (fajl, pošalju nekom web servisu or whatever). Strip odmah pa ni ne razmišljaš o tome.
Umesto da koristiš sopstvene funkcije za escapeovanje bolje je da koristiš stvari koje ti PHP i MySQL daju, pre svega mysql_real_escape_string.
Imati neku prepare funkciju nije nimalo loša stvar. Spašava glavu jer ne moraš da razmišljaš o escapevoanju, samo korstiš gotovu funkciju. Ono što ja koristim je ušnirano na par nivoa pa je jako teško izvući konkretan kod, ali bi izgledalo nešto ovakvo:

PHP kôd:


		
			
<?php

  function prepare_string() {
    $arguments = func_get_args();
    if(is_array($arguments) && count($arguments) > 0) {
      $sql = array_shift($arguments);
      foreach($arguments as $argument) {
        $sql = str_replace_first('?', "'" . mysql_real_escape_string($argument) . "'", $sql);
      } // foreach
      return $sql;
    } // if
    return false;
  } // prepare_string
  
  function str_replace_first($search_for, $replace_with, $in) {
    $pos = strpos($in, $search_for);
    if($pos === false) {
      return $in;
    } else {
      return substr($in, 0, $pos) . $replace_with . substr($in, $pos + strlen($search_for), strlen($in));
    } // if
  } // str_replace_first
  
  print prepare_string("SELECT * FROM users WHERE id = ?", 12) . '<br />';
  print prepare_string("SELECT * FROM users WHERE id = ? AND name = ?", 12, 'Ilija') . '<br />';
  print prepare_string("SELECT * FROM users WHERE id = ? AND name = ?", 12, 'Now with \ slash') . '<br />';

?>

Output:

Kôd:

SELECT * FROM users WHERE id = '12'

SELECT * FROM users WHERE id = '12' AND name = 'Ilija'

SELECT * FROM users WHERE id = '12' AND name = 'Now with \\ slash'

Možemo se ovde još igrati (npr, meni spremi i nizova za IN, prepoznaje neke moje tipove kao DateTime objekte itd), ali poenta je jednostavna i ovo je dovoljno za većinu stvari.

Citat:

Originalno napisao LiquidBrain

To plus regularni izrazi da se uverim da neko nije pokushao neshto... Ako jeste odma logujem IP :)

Mudro! Sad mi reci šta konkretno imaš od toga? ;)

Citat:

Originalno napisao Ilija Studen

Mudro! Sad mi reci šta konkretno imaš od toga? ;)

Pa ukoliko dodje do kompromisovanja baze, eventualno cu da imam IP (sem ukoliko ne ide preko proksija) A btw, logujem ceo query, tako da ukoliko imam propust, mogu da ispravim odmah, jer znam gde je :)