Dotaz: syntax select dotazu premenna v apostrofoch

[amico]

Zdravim
Takze dal som pre istotu nove vlakno z toho
problem je v tom ze v select sa mi nenacitaju premenne v apostrofoch:

$sql= "update galeria set rating=rating+1 where $meno = '$galeria' ";

vypise len premennu $meno v apostrofoch neostane nic... server yegon ma s tym problem localhost aj taky webzdarma tam to funguje
Existuje riesenie?

Odpovědi

[cronin]

No, a je premena $galeria neprazdna? Nie je v mene premennej preklep?

[rastos]

Parametrizovaný SQL statement. Inak si koleduješ o SQL Injection.

[Filip Jirsák]

Jste si jist, že ta proměnná $galeria není prázdná? Zkuste si její obsah vypsat. Jinak ten váš příklad je přímo ukázkový kód, jak umožnit SQL injection. Mnohem lepší by bylo použít MySQLi a prepared statements.

Mimochodem, předpokládám, že je to PHP, ale v dotazu jste to nikde neuvedl…

[amico]

je to PHP a musim to asi cele prerobit... SQL injection to som pocul ale necital o tom nic a MySQLi pocujem prvykrat a tak idem googlit zatial diky

[Šangala]

Pominu-li již několikrát vzpomínanou nevhodnost tvoření SQL dotazu, tak stále si myslím, že v proměnných (nyní $galeria) je VELKÉ NIC.
A to (asi) proto, že máte proměnou z url např. http://www.web.kuk/index.php?galerie=kubrtovo a na serveru je register globals off (což je normální a správné :)).
Pokud to tak je, je třeba dotaz předělat na:
$sql= "update galeria set rating=rating+1 where $meno = '". mysql_real_escape_string($_GET['galerie']) . "' "; (Pokud je to z POST-U tak _GET yměnit za _POST)

Nebo to předělat celé :)