Dotaz: Mám problém s podmienkov WHERE a znakom +

[Bedňa]

Tento dotaz funguje výborne až pokiaľ $_GET[kod_tovaru] neobsahuje reťazec napr "DVD + RW BENQ 10CAKE" a práve v tom pluse je problé a fakt som toho riešil dosť a toto ma dorazilo, mám toho plné zuby, prosím helpnite, prečo mi zožiera nervy a to je už 1:34.

$vysledok = mysql_query('DELETE FROM Kosik WHERE Id="'.$_GET[id].'" && Kod_tovaru="'.$_GET[kod_tovaru].'"');

 

Odpovědi

[Bedňa]

Asi preto že je veľa hodín mi nedoplo, vyriešil som to rawurlencode / rawurldecode.

[happy barney]

keď už musíte svoj život przniť php-čkom, odporúčam pozrieť sa aj na funkciu mysql_escape_string

[podlesh]

Jo jo. Doporučuji se zamyslet nad tím, když někdo zadá kód zboží '; drop table Kosik;

[Toman]

Tak to bude mít asi po nákupech

[Bedňa]

Nestane sa nič, lebo ho zoberie ako reťazec, je ohraničený do úvodzoviek :)

[kaaja]

To právě ne. Proto je na začátek toho kódu zboží ukončení uvozovek.

[Filip Jirsák]

Asi jde o to, že původní tazatel používá dvojité uvozovky, ale v příkladu byly jednoduché… Takže ano, pokud hacker nezná dvojité uvozovky ale jen jednoduché, je to bezpečné.

[pSipi]

Nie nejde. Cely dotaz sa posklada a az potom vykona takze tie dvojite uvodzovky tam uz nebudu.

Precitaj nejake clanky o SQL injection. Je toho na webe mraky. Zaklad je neskladat sql dynamicky  zo stringov takymto sposobom pretoze potom to musis len nejako obskurne parsovat na klucove slova a znaky co sa ti bud nemusi kompletne podarit alebo budes mat obmedzenia co mozes zadat do parametrov a nezadas napr O'Brian ako priezvisko pretoze to ma apostrof. Riesi sa to vacsinou tak ze volas procedury  alebo predavas hodnoty do dotazu ako parameter.

[Filip Jirsák]

Doporučuju přečíst si ještě jednou celou konverzaci. O SQL injection opravdu poučovat nepotřebuju…

[podlesh]

Myslím že to tady zbytečně zamotáváte. Prostě v dotazu je SQL Injection a to je FUJ.

[Filip Jirsák]

O tom není sporu. Pouze si Bednič všiml, že v příkladu byl zaměněn apostrof a „uvozovka“ a napsal o tom ironický komentář se smajlíkem, že zrovna tenhle příklad by jako SQL injection nefungoval. A teď se o tom vede sáhodlouhá debata, protože ten komentář asi ne každý pochopil.

[Bedňa]

V praxi sa nestane nič, MySQL narazí na problém s neuzatvorenými úvodzovkami a príkaz sa nevykoná, je zaujímavé že keď to skúšam cez phpmyadmin tak sa tabuľka zmaže a vyhodí chybu s dvojitímy úvodzovkami, zaujímalo by ma prečo?

Testovať online môžete na http://vmshoping.yw.sk/

Je to free server a je nenormálne pomalí, aspoň väčšinou, mám tam jednu funkciu na overovanie čo mu dáva zabrať (dočasne, potom pôjde preč), ale aj tak to čo u mňa na localhoste zchrastí za 1sec tam to trvá 10 a viac, ako dnes 30sec.

[Filip Jirsák]

To záleží na tom, jak vypadá příkaz v kódu PHP a co tam vkládáte za paramtery – je samozřejmě potřeba podstrčit takový text, který dá dohromady s tím kódem v PHP správný SQL příkaz.

[MMMMMMMMM]

a co magic_quotes_gpc?

[Filip Jirsák]

To je zlo, které bude naštěstí v PHP 6 odstraněno.