Fout bij sturen formulier

mysql_real_escape_string($_POST['veld']);

of addslashes() of htmlentities()

Dank dank dank.....!!!

mysql_real_excape_string werkt beter, dat doet niets met je data opzich, maar maakt het wel even veilig om het door de query heen te krijgen;)

(kortom, geen & gezeik ofzo)

En nog ff de theorie erachter zodat Nanno weet wat er precies fout gaat:

Als je een tekst verstuurd met een ' of " erin, dan kan het uit je query breken.

Stel je query is: "UPDATE table SET kolom = ' " . $waarde . " ' "
En waarde bevat: dit is een 'test'

Dan wordt het zo als query gezien:

"UPDATE table SET kolom = ' dit is een 'test' ' "

Dan zie je wel dat die aanhalingstekens worden gezien als deel van de query.
Dit gedeelte ziet ie wel als waarde: ' dit is een '
Omdat die omsloten is door 2 aanhalingstekens, maar daarna ziet ie opeens staan:

test' '

En dat hoort niet, daar hoort ie een , (comma) of andere SQL commando's te krijgen als WHERE, ORDER BY, LIMIT etc.

En die mysql_real_escape_string zorgt er dus voor dat mysql de aanhalingstekens binnen mysql_real_escape_string identificeert als een deel van de string zelf.

Maar wat is dan precies het verschil tussen addslashes en mysql_real_escape_string.
Ik heb het hier getest, maar het geeft exact hetzelfde resultaat.

Bijvoorbeeld
<?php
$userName = "bl\aat'blaat";
echo mysql_real_escape_string($userName); // = bl\\aat\'blaat
echo addslashes($userName); // = bl\\aat\'blaat
?>

Overigens gebruik ik htmlentities, zodat ik geen charset conflicten krijg.

addslashes
Beveiligd te volgende items: " ' \ NULL

mysql_real_escape_string
Zelfde als addslashes, maar behandeld ook \n en \r

mysql_real_escape_string is dus net ff een beetje extra.

Jelle,

Bedankt voor je uitleg!
Ik ben weer een stuk wijzer geworden.

Eigenlijk komt het erop neer dat ik dit commando bij elke variabele gebruik, omdat ik met namen werk en teksten die het ' teken veel bevat.

Nogmaals bedankt, je hebt me uit de brand geholpen.

Groet,

Nanno

Nanno, wat je zou kunnen doen, is ergens bovenin je index.php een functie maken als:

<?php
function toDB($val){
return mysql_real_escape_string($val);
}
?>

Dan kan je je queries voortaan zo doen:

mysql_query("UPDATE tabel SET kolom = '".toDB($deVariable)."'");

Dan hoef je niet elke keer die lange zin te typen.