PHP & INSERT INTO mySQL ne radi :(

[LiquidBrain]

Pozdrav ljudi, eto da i ja imam jedan problem pa mi treba mala pomoc
Problem je u sledecem:

	$query = "INSERT INTO Client (fname, lname, email, address, tel, country, zip)
	 VALUES ($custom_First_Name, $custom_Last_Name, $from, $custom_Address,
		$custom_Phone_Number, $custom_Country, intval($custom_Post_Code)";

	$result = mysql_query($query) or die(mysql_error());

jednostavno nece da upishe podatke u tabelu

nije problem oko dozvola jer user koji se konektuje na bazu ima sve privilegije. A i sem toga cudno mi je jer SELECT query radi bez problema.
A shto je najveci problem ne vraca nikakav error. Zbunjen sam skrozz

Da li znate shta bi mogao da bude problem, poshto mi je to veoma neophodno, a nece da radi.

Unapred hvala.

[BluesRocker]

Može biti da imaš više polja u tabeli nego što si uključio u query.

[dinke]

Pa nije ni cudo da ti ne radi kad nisi stavio nijdno string polje unutar navodnika. Dakle, treba:

$query = "INSERT INTO Client (fname, lname, email, address, tel, country, zip)
	 VALUES ('$custom_First_Name', '$custom_Last_Name', '$from', '$custom_Address',
		'$custom_Phone_Number', '$custom_Country', '$custom_Post_Code' ";

[LiquidBrain]

Da, hvala. to je u sushtini bio problem.

[jablan]

Samo pripazi šta će da se desi ako u samim vrednostima promenljivih imaš apostrof...

[LiquidBrain]

Da znam, provereno vec ako bude imalo onda je SQL injection

[cvele]

Originalno napisao LiquidBrain

Da znam, provereno vec ako bude imalo onda je SQL injection

PHP kôd:

function escape_sql($text) {
    // return $text;
    $text = str_replace("\\", "\\\\", $text);
    return str_replace("'", "''", $text);
}

function escape_sql($string) {
  return get_magic_quotes_gpc() ? $string : addslashes($string);
} 


i jos hiiiiiiljade varijanti

[LiquidBrain]

To plus regularni izrazi da se uverim da neko nije pokushao neshto... Ako jeste odma logujem IP

[Ilija Studen]

Samo par tipova, možda nekom bude koristilo:

• Stripovanje slasheva treba odraditi odmah, negde u headeru. Samo stripovanje pri interakciji sa bazom može doveste da se (nepravilni) stringovi sa slashevima sačuvaju u neki drugi "izvor" (fajl, pošalju nekom web servisu or whatever). Strip odmah pa ni ne razmišljaš o tome.
• Umesto da koristiš sopstvene funkcije za escapeovanje bolje je da koristiš stvari koje ti PHP i MySQL daju, pre svega mysql_real_escape_string.
• Imati neku prepare funkciju nije nimalo loša stvar. Spašava glavu jer ne moraš da razmišljaš o escapevoanju, samo korstiš gotovu funkciju. Ono što ja koristim je ušnirano na par nivoa pa je jako teško izvući konkretan kod, ali bi izgledalo nešto ovakvo:

PHP kôd:

<?php

  function prepare_string() {
    $arguments = func_get_args();
    if(is_array($arguments) && count($arguments) > 0) {
      $sql = array_shift($arguments);
      foreach($arguments as $argument) {
        $sql = str_replace_first('?', "'" . mysql_real_escape_string($argument) . "'", $sql);
      } // foreach
      return $sql;
    } // if
    return false;
  } // prepare_string
  
  function str_replace_first($search_for, $replace_with, $in) {
    $pos = strpos($in, $search_for);
    if($pos === false) {
      return $in;
    } else {
      return substr($in, 0, $pos) . $replace_with . substr($in, $pos + strlen($search_for), strlen($in));
    } // if
  } // str_replace_first
  
  print prepare_string("SELECT * FROM users WHERE id = ?", 12) . '<br />';
  print prepare_string("SELECT * FROM users WHERE id = ? AND name = ?", 12, 'Ilija') . '<br />';
  print prepare_string("SELECT * FROM users WHERE id = ? AND name = ?", 12, 'Now with \ slash') . '<br />';

?>

Output:

SELECT * FROM users WHERE id = '12'
SELECT * FROM users WHERE id = '12' AND name = 'Ilija'
SELECT * FROM users WHERE id = '12' AND name = 'Now with \\ slash'

Možemo se ovde još igrati (npr, meni spremi i nizova za IN, prepoznaje neke moje tipove kao DateTime objekte itd), ali poenta je jednostavna i ovo je dovoljno za većinu stvari.

Originalno napisao LiquidBrain

To plus regularni izrazi da se uverim da neko nije pokushao neshto... Ako jeste odma logujem IP

Mudro! Sad mi reci šta konkretno imaš od toga?

[LiquidBrain]

Originalno napisao Ilija Studen

Mudro! Sad mi reci šta konkretno imaš od toga?

Pa ukoliko dodje do kompromisovanja baze, eventualno cu da imam IP (sem ukoliko ne ide preko proksija) A btw, logujem ceo query, tako da ukoliko imam propust, mogu da ispravim odmah, jer znam gde je