Frage zu mysql / PHP

Stan · 23. September 2009, 21:35

Also ich habe folgendes Problem:

Ich möchte folgenden Code benutzen

Quellcode

$update_sql = "update sheet set text='" . $_POST['editor_edit_content'] . "' where mod_id=" . $mod;
$update_res = mysql_db_query(DBASE, $update_sql);

editor_edit_content ist der Inhalt eines WYSIWYG Editors, der das geschriebene eben in HTML Code umwandelt und übergibt. Natürlich sind in diesem HTML Code die Zeichen " und ' enthalten, was den string den 'text' in der Datenbank annehmen soll natürlich unterbricht.
zB ... text='<a href='....

So nimmt text nur '<a href' an und nicht den ganzen Tag.

Gibt es eine Funktion die mein Problem löst?

Ich habe es auch schon mit

Quellcode

... set text=\'" . $_POST['editor_edit_content'] . "\' where mod_id=" . $mod;

probiert, funktioniert aber nicht!

Nax · 23. September 2009, 22:39

Hallo,

dein Code hat riesige Sicherheitslücken - du solltest dich, bevor du Web-Anwendungen programmierst, mit Thematiken wie SQL-Injections, XSS, CSRF, ... auseinandersetzen. Um auf dein konkretes Problem zurück zu kommen: Für solche Sachen sollte man eigentlich immer Prepared Statements verwenden: forum.codecall.net/php-tutoria…-prepared-statements.html

Retr0Virus · 27. September 2009, 18:17

Ich stimme Nax zu.
Ich würde erstmal einiges zur Sicherheit von MySQL-Abfragen lesen.

Um dein Problem aber schnell zu lösen, sollte ein
$_POST['editor_edit_content'] = mysql_real_escape_string($_POST['editor_edit_content']);
erstmal reichen. Jedenfalls für den Codeausschnitt, der hier zu sehen ist.
Jede "fremde" Variable, die von außen kommt (also $_COOKIE[...], $_GET[...], $_POST[...] u.ä.) sollte mit mysql_real_escape_string gesichert werden. Hier ein paar Infos dazu:
de.php.net/manual/de/function.mysql-real-escape-string.php

Und da du scheinbar gerade dabei bist PHP/MySQL zu lernen, würde ich gleich mysqli verwenden statt mysql.
Infos dazu: de.php.net/manual/de/book.mysqli.php

Nax · 27. September 2009, 18:27

Möglicherweise solltest du auch die Verwendung von einem ORM, wie zum Beispiel Doctrine, oder gleich von einem ganzen PHP-Web-Framework in Betracht ziehen. Solche Libraries können dir jede Menge Zeit ersparen und viele Fehlerquellen ausmerzen.

Quellcode

Quellcode

Teilen