Hallo iedereen,

Ik ben bezig met een soort beheeromgeving, waarin de administratie binnengekomen aanmeldingen kan factureren. Dit kan via een Excel-bestand. De export werkt.

Nu heb ik een drop-down box neergezet die op waarde 'ja' gezet kan worden. Na klikken op "Gefactureerd" moet het script in iedere rij die zojuist geexporteerd is de waarde 'gefactureerd' op ja zetten.

Het script werkt, alleen de update niet. Wie weet wat ik verkeerd doe?

Gerjo

Edit: bij deze een fragment van het script. Heb alleen het gedeelte waarin de query wordt gemaakt i.c.m. de update in sql gepost. (Moet dit tussen tags?)

<?php
ini_set('display_errors', 1);
error_reporting(E_ALL);

include 'db.inc.php' ;

$formulier = TRUE;

if(!isset($_COOKIE['formulier']))
{
if(isset($_POST['gereed']) && ($_SERVER['REQUEST_METHOD']== "POST"))
{
{
$aFout = array();
$gefactureerd = trim($_POST['gefactureerd']);
}
{
// sql insert die je in de database gaat doen

$sql = "UPDATE inschrijvingen SET gefactureerd='".$_POST['gefactureerd']."', WHERE aanmelding='ja'";
$query = mysql_query($sql)or die;
}

?>
(hieronder het formulier. Daaronder staat de laatste }, dus die mis ik iig niet)
SanThe schreef op 14.07.2009 22:02
[quote='ark schreef op 14.07.2009 21:59']Leg mij dan eens uit wat er SQL injection gevoelig is aan die code die ik poste.

Ik bedoelde het script van TS. Die van jou is in orde. Sorry voor de verwarring.[/quote]

Oh dacht al ^-^, Leer graag wat bij als iets gevoelig is voor sql injection.
Het ging om deze regel die nu goed is
gefactureerd = '".mysql_real_escape_string($_POST['gefactureerd'])."'

De tekst die je zelf invult mag maar hoeft geen mysql_real_escape_string().
aanmelding = 'ja' is ook goed.

Reageren