Update table

Kur cia klaida?

 

mysql_query("UPDATE `atletas` SET `antraste`='$_POST[antraste]',`tekstas`='$_POST[tekstas]' where `nr`='$_GET[str]'");

 

 

 

Perduoda ir $_POST[antraste] ir $_POST[tekstas] ir $_GET[str] patikrinau su echo. Bet lenteles neupdeitina

SQL injekciją tau padarys jei šitaip dirbsi :)

ka tu tuo norejai paskayti nesupratau?

Isspresta :P Biski ziopla klaida buvau iveles :) :P

ka tu tuo norejai paskayti nesupratau?

Norėjo žmogus pasakyti, kad prieš terpiant kintamuosius į užklausą reikia pirma juos patikrinti, pašalinti (pakeisti) tokius simbolius, kaip ', nes kitaip gali žmonės nesunkiai tavo tinklapį nulaužti.

Tačiau čia ko gero yra užklausa vykdoma iš Admin Panel'ės, tai jei administratorius neketina savo tinklapio laužti ir pakankamai saugo savo slaptažodžius, tai nieko labai blogo neatsitiks dėl duomenų nepatikrinimo. Bet galima būtų visur įprasti tai daryti, bus lengviau.

Dar vienas minusas, kad dabar tame savo "$_POST[tekstas]" negalėsi naudoti ženklo ', nes gausi MySql error'ą. Nebent įjungtas MagicQuotes pas tave. :)

ka tu tuo norejai paskayti nesupratau?

per $_GET['str'] kintamaji iterpia kazkokia eilute kuri idedama i mysql_query(.... $_GET['str']); iterpiami simboliai, kad galetu isgauti is duombazes reikiama rezultata. http://en.wikipedia.org/wiki/Sql_injection

 

EDIT: pavelavau.

 

nes kitaip gali žmonės nesunkiai tavo tinklapį nulaužti.

labai juokingas issireiskimas paprastam sql inj isnaudojimui :) :P

Redagavo Spalio 17, 2007 dirbu

Norėjo žmogus pasakyti, kad prieš terpiant kintamuosius į užklausą reikia pirma juos patikrinti, pašalinti (pakeisti) tokius simbolius, kaip ', nes kitaip gali žmonės nesunkiai tavo tinklapį nulaužti.

Tačiau čia ko gero yra užklausa vykdoma iš Admin Panel'ės, tai jei administratorius neketina savo tinklapio laužti ir pakankamai saugo savo slaptažodžius, tai nieko labai blogo neatsitiks dėl duomenų nepatikrinimo. Bet galima būtų visur įprasti tai daryti, bus lengviau.

Dar vienas minusas, kad dabar tame savo "$_POST[tekstas]" negalėsi naudoti ženklo ', nes gausi MySql error'ą. Nebent įjungtas MagicQuotes pas tave. :P

Joa cia bus prieinama tik adminui :D Del to addslashes kazkaip zinojau bet nelabai i juos kreipdavau demesio db teks visada atkreipti :D Kai kur naudojau kai kur ne ziurint is kur sablona istraukdavau :) zodziu gyveni ir mokaisi :P