Miten muuttujaan saa tallennettua / ja \ merkkejä?? Haluan tallentaa samaan muuttujaan hakemistopolun ja tiedoston nimen(esimmäinen rivi koodissa), eli toisin sanoen linkin jota klikkaamalla saa avattua tiedoston, mutta hakemistojen rajaavat / merkit jäävät hakemistopolusta pois. Mikä on syynä? Muuten tekstikenttien tallennus toimii hyvin! Hakemistopolku tallennetaan MySQL-tietokantaan.
Lomakkeessa on 4 tekstikenttää:
Tiedosto:
Otsikko:
Hakusana:
Kuvaus:
Toisella sivulla haluaisin muodostaa linkin hakemistopolusta ja tiedostosta, jonka koodi on:
while ($_POST['tiedosto'] = mysql_fetch_row($kysely)) {
print "" . $_POST['tiedosto'][2];
print " " . $_POST['tiedosto'][3] . "" ;
}
Mikä on syynä kun / ja \ merkit jäävät pois muuttujan nimestä? Pitäisikö koodi tehdä toisella tavalla?
---Kiitokset avuista!
Lomakkeessa on 4 tekstikenttää:
Tiedosto:
Otsikko:
Hakusana:
Kuvaus:
Toisella sivulla haluaisin muodostaa linkin hakemistopolusta ja tiedostosta, jonka koodi on:
while ($_POST['tiedosto'] = mysql_fetch_row($kysely)) {
print "" . $_POST['tiedosto'][2];
print " " . $_POST['tiedosto'][3] . "" ;
}
Mikä on syynä kun / ja \ merkit jäävät pois muuttujan nimestä? Pitäisikö koodi tehdä toisella tavalla?
---Kiitokset avuista!
Vastaukset 4
Vanhimmat
Vika on siinä koodissa mikä tallentaa tiedot tietokantaan. \ on erikoismerkki ja sen toiminta pitää kumota \\. Kun tallennat tietokantaan niin laita syöte http://fi.php.net/manual/fi/function.mysql-escape-string.php läpi joka tekee ton ja myös haitalliset merkit vaarattomas.
input jne... kuuluvat kirjoittaa pienellä, ja muutenkin html tagit kannattaa kirjoittaa pienellä.
Sekä miksi otat tiedot tietokannasta $_POST['tiedosto'] muuttujaan, $_POST, $_GET, $_SESSION, $_COOKIE ovat varattuja omiin tarkoituksiin, ja koodi on myöhemmin selvempää kun jätetään noi muuttujat omiin tarkoituksiin, vaikka eihän siitä haittaakaan ole jos niitä käyttää, paitsi enään ei tiedä mistä syöte tulee ja saattaa aiheuttaa turva-aukkoja.
ennemmin vaikkapa näin
$data = mysql_fetch_row($kysely)
$data[0]...
Tuo $tiedosto -rivi/muuttuja pitäisi ainakin ajaa ton mysql_real_escape_string -funktion läpi mutten saanut sitä toimimaan... ei oo ihan vielä hanskas tää. Pystyykö vielä auttaa miten se tehdään tuohon lausekkeeseen??
// Tallennetaan taulukkoon ohjelmat muuttujien (tiedosto,otsikko,hakusana,kuvaus) sisällöt.
$sql_lauseke = "insert into ohjelmat (tiedosto,otsikko,hakusana,kuvaus) values ('$_POST[tiedosto]','$_POST[otsikko]','$_POST[hakusana]','$_POST[kuvaus]') ";
Kaikki data mikä tulee käyttäjältä *PITÄÄ* joko tarkistaa tai laittaa ton mysql_escape_string tai vastaavan function kautta. Pahimmassa tapauksessa tulostat vielä PHP:n virheilmoitukset näytille, jolloin esim ' merkki saa aikaan virheilmoituksen tämä kertoo todella paljon mikä on scriptisi turvallisuustaso, tämän jälkeen menee sekuntti tai pari, kun kantasi on tyhjennetty, adminiin lisätty halutut tunnukset jne.....
Tapojahan on monia, joko lisätä lauseeseen suoraan tai sitten tarkistaa ennakolta, jne... kannattaa tehdä niin minkä kokee itselleen selvimmäksi.
esim
$sql_lauseke = "
insert into ohjelmat (
tiedosto,
otsikko,
hakusana,
kuvaus
)
values ('
".mysql_escape_string($_POST['tiedosto'])."','
".mysql_escape_string($_POST['otsikko'])."','
".mysql_escape_string($_POST['hakusana'])."','
".mysql_escape_string($_POST['kuvaus'])."'
)
";
echo $sql_lauseke;
Tai sitten ihan vaan
$_POST['otsikko'] = mysql_escape_string($_POST['otsikko'];
Tai
$otsikko = mysql_escape_string($_POST['otsikko'];
Kannattaa myös harkita oman function tekoa tarkistuksille, jolloin koodissa on siihen helppo viitata, esim datan_tarkistus($_POST['x'],'kirjaimia'); joka tarkastaa onko x pelkkiä kirjaimia, kuten nimeä varten.
\\ == \
eli
' \ kaikki tulee mukaan'
" \ merkki pitää escapoida \\"