Problemer med at uploade data til min MySQL-database vha. PHP og submit forms

Hej Amino'er!

Jeg er mildest talt ingen haj til PHP og MySQL, men jeg prøver alligevel at få lidt styr på det, hvilket er gået mig ok indtil videre. Det eneste problem jeg dog er støt på, er at jeg ikke kan få min "submit form" til at uploade de indtastede data til min MySQL-database, vha. kommandoen "INSERT INTO". At hente ned fra databasen virker gnidningsfrit, men omvendt sker der intet udover at siden ikke loader, hvis jeg har "INSERT INTO"-kommandoen i min kode.

Jeg poster en kode næsten magen til herunder (uden kodeord til min database osv.), nogen der kan hjælpe mig? I må endelig spørge hvis der er nogle af mine variabler I ikke lige har styr på, samt rette andre mulige fejl - jeg bliver jo kun klogere af en længere diskussion og/eller flere råd.

Hav en rigtig god aften!

Tommy Bjerg:

mysql_query("INERT INTO tabel(kolonne1) VALUES (" . $_POST['form1'] . ")");

Den der bruger du vel ikke...... SQL-injection....

@Niels : Hahah nej. men hvis ha i første omgang skal ha hul igennem, rettede jeg så lidt som muligt i hans egen kode.

Er du sikker på databasen med navnet "database" og tabellen med navnet "temp" findes? Kig evt. efter i din backend (phpMyAdmin eller lignende).

Som Niels korrekt nævner er din kode sårbar overfor SQL Injection, kort fortalt kan jeg f.eks. slette din tabel ved at indtaste noget i retning af "blabla"); DROP TABLE quote; --" i din form, så den endelige SQL query i din kode kommer til at være:

"INSERT INTO temp(quote) VALUES ("blabla"); DROP TABLE temp; --" (alt efter -- bliver ignoreret og set som en kommentar af MySQL).

Du kan i stedet bruge PDO og prepared statements, har omskrevet dit lille eksempel til at bruge PDO. Tag et kig og se om det virker.

Note: koden er skrevet i en fart, håber ikke der er bugs i :)

Bemærk at der er punktum før og efter $_POST['form'] ...

"- tegne omslutter strenge fx. "title"

men punktum klipper strenge sammen :) -  fx : "title : " . $mintitel;

No problemo, held og lykke med lære PHP/SQL!

Mht. SQL injection så handler det egentlig bare om at du aldrig kan stole på brugerens input, altså i dette tilfælde det brugeren skriver i input feltet.

En "ond" bruger kan skrive ting i feltet som har utilsigtede sideeffekter, i mit tilfælde ovenfor sletter den f.eks. din database tabel.

Hvis nu du f.eks. skriver data fra databasen ud på en anden side, og en bruger har indsat "<script>alert('HACKED YOUR SITE');</script>" i stedet for hvad du forventede og du ikke filtrerer dataene før de præsenteres, så kan brugerne gøre farlige ting ved din side og dine brugeres data.