Za PHP i SQL

sorry, molia vij go otnovo...:)
men mi hrumna kak da napravia search sys OR i AND, dokato putuvah
v avtobusa kum rabotata... samo ne znam kak shte go napravia da matchva
neshta ot vida

"Пламен Петров" + ivo - cool_
Сега ще сърчне ...like '%\"Пламен%' OR like '%Петров\"% ' OR like '%ivo%' OR
like '%cool_%'

kojto burza dalech ne stiga :(((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((

mmm, vupros:
imam:
$a="select b from c where b like '%$search%'";
$search idva ot <input> field...

vyzmojno li e kakvato i da e vhodiashta informacia v $search da
break-ne po niakakyv nachin izpulnenieto na sql zaiavkata $a?


А пекарят се подсмива,
лакомец глава затрива.

Когато стринга ти е в апострофи, мисля че няма проблем, но ако лепиш число към заявката могат да станат големи поразии.
Ако имаш страница с параметър id накрая и ако вместо число напишеш нещо от рода:

page.php?id=12%3B+DELETE+FROM+Table%3B+%2D%2D

което "в превод" значи id=12; DELETE FROM Table; --
и може да затриеш някоя таблица.
Не съм сигурен дали MySQL поддържа коментара "--", но SQL Server го поддържа и там можеш даже да спреш целия сървър със заявка, ако умният администратор е дал права на SQL-ския юзър да прави такива щуротии (както става в много случаи)

Всяко хубаво нещо си има край

kato se zamislia ne e nujno da lepish ID-ta?

eto naprimer v moeto pagirane, koeto sum posochil za primer
parametrite afrom i ato vlizat v select state-ment-a bez
preobrazuvane. az suotvetno dobavih ;-- i rezultatyt beshe,
che sql zaiavkata izgurmia.

select * from zzz where from>15;-- AND blah blah
ne se execute-na. Razbira se - ne triabva da se razchita na tova.
Smiatam da napravia revisia na sichki php-ta, koito sum pravil i da
naslagam konvertirane na poluchenite ot query stringa variables
v chislov format.


А пекарят се подсмива,
лакомец глава затрива.

E taka de....

Sega ili po-natatak shte si napishesh wrapper za mysql_query?

Za kakvo spored teb sa funkcii kato AddSlashes()?

Linux is like a wigwam - No Windows, No Gates, Apache inside

do kolkoto zabeliazah, slashes php si gi addva avtomatichno...:)

wrappera go slojih rannia sledobed, predi da otida na rabota...
t.e. ne go slojih, ami napisah nov search1.php, kojto posle napravih
kato oficialna versia (blagodaria, che mi oburnahte vnimanie na
greshnia link kum testovia search1.php). Ima oshte edin web, kudeto
trqbvashe da napravq promqna, no nego shte go pokaja tuk kato mu dojde
vremeto:)


А пекарят се подсмива,
лакомец глава затрива.

Ne to4no :P
ako magic_quotes_gpc == 1
togaz e automathic
ina4e...


function my_addslashesh( $str = "")
{
if ( get_magic_quotes_gpc() == 1) {

return $str;
} else {

return addslashes( $str);
}
}



kakto kazfa salle - wrapper my e maikata :P

rgdz
curly

:) dobre che e zImage da go sloji tova
i da mi spesti iadovete :P

blagodaria.

Za vbudeshte shte si prekarvam query-tata
prez "wrapper" :)


А пекарят се подсмива,
лакомец глава затрива.