Tijden veranderen
Mysqli_error()
Code (php)
1
2
3
4
5
6
7
8
9
10
2
3
4
5
6
7
8
9
10
<?php
//Controle of bij te werken waarden correct zijn.
$_POST['set'] = ''; // Dit kan een lege string zijn
// Controleer of de variabele leeg is, zo ja, gebruik NULL
$variabele_sql = empty($variabele) ? "NULL" : "'" . mysqli_real_escape_string($variabele) . "'";
$queryUpdate = "UPDATE modellen SET start_set = '".$_POST['set']."'";
echo "De SQL-query is: ".$queryUpdate;
// en dan het uitvoeren etc....
?>
//Controle of bij te werken waarden correct zijn.
$_POST['set'] = ''; // Dit kan een lege string zijn
// Controleer of de variabele leeg is, zo ja, gebruik NULL
$variabele_sql = empty($variabele) ? "NULL" : "'" . mysqli_real_escape_string($variabele) . "'";
$queryUpdate = "UPDATE modellen SET start_set = '".$_POST['set']."'";
echo "De SQL-query is: ".$queryUpdate;
// en dan het uitvoeren etc....
?>
Gewijzigd op 26/10/2024 23:26:20 door - Ariën -
- Ariën - op 26/10/2024 23:25:53:
Je weet toch wat een string is, en wat een query is? En ook hoe een echo werkt?
Neen, tot jullie erover begonnen, had ik nog nooit van een echo van gehoord. De laatste jaren heb ik me niet meer in php verdiept, het overzicht van mijn treinmodellen was af en werkte. Dus de noodzaak ontbrak.
Toevoeging op 27/10/2024 15:59:59:
Ik heb dit in mijn script gezet, conform jouw suggestue:
Code (php)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
2
3
4
5
6
7
8
9
10
11
12
13
14
$_POST['set'] = ''; // Dit kan een lege string zijn
// Controleer of de variabele leeg is, zo ja, gebruik NULL
$variabele_sql = empty($variabele) ? "NULL" : "'" . mysqli_real_escape_string($variabele) . "'";
//control of pagina zichzelf heeft aangeroepen via hidden field uit formulier aan eind van deze pagina
//if (!EMPTY ($_POST['set'])){$_POST['set'] = (int)$_POST['set'];}
//Controles over de aard van $_POST['set']
//echo var_dump(is_string($_POST['set']));
echo "De SQL-query is: ".$queryUpdate;
IF(isset($_POST['JA']))
{ //query samenstellen
$queryUpdate = etc etc etc
// Controleer of de variabele leeg is, zo ja, gebruik NULL
$variabele_sql = empty($variabele) ? "NULL" : "'" . mysqli_real_escape_string($variabele) . "'";
//control of pagina zichzelf heeft aangeroepen via hidden field uit formulier aan eind van deze pagina
//if (!EMPTY ($_POST['set'])){$_POST['set'] = (int)$_POST['set'];}
//Controles over de aard van $_POST['set']
//echo var_dump(is_string($_POST['set']));
echo "De SQL-query is: ".$queryUpdate;
IF(isset($_POST['JA']))
{ //query samenstellen
$queryUpdate = etc etc etc
Eerst krijg ik een waarschuwing: Undefined variable $queryUpdate in C:\wamp\www\modellenEdit.php on line
Dat klopt, is een lege string.
Voer ik de queryUPDATE uit, dan krijg ik:
Code (php)
1
2
3
2
3
De SQL-query is: Wijzigen is niet gelukt.
Incorrect integer value: '' for column 'start_set' at row 1
Query: UPDATE modellen SET merk = '10 ', artikelnummer = '37075', maatschappij = '6', soort = '20', bedrijf = '', reeks = '232TC 411', klasse = '4', asindeling = '24', lengte = '16.00', interieur = 'nee', verlichting = '10', tijdperk = '2', aantal = '1', railsysteem = '2', stroomsoort = '4', wielmerk = '10', wieldiameter = '0', wielaslengte = '0', motor = '4', gemotoriseerd = 'ja', decoder = '4', protocol = '5', adres = 'auto', consist_adres = '', bijzonderheden = '', extra_informatie = 'Oorspronkelijk Pruisisch ontwerp (T18) voor de Reichseisenbahnen in Elsa-Lothringen. Door de SNCF werden de locomotieven geregistreerd als SNCF Serie 1-232 TC met de nummers 401 t/m 427.', modelinfo = '', categorie = '3', afbeelding = '218', OVP = '2', start_set = '' WHERE id=202
Incorrect integer value: '' for column 'start_set' at row 1
Query: UPDATE modellen SET merk = '10 ', artikelnummer = '37075', maatschappij = '6', soort = '20', bedrijf = '', reeks = '232TC 411', klasse = '4', asindeling = '24', lengte = '16.00', interieur = 'nee', verlichting = '10', tijdperk = '2', aantal = '1', railsysteem = '2', stroomsoort = '4', wielmerk = '10', wieldiameter = '0', wielaslengte = '0', motor = '4', gemotoriseerd = 'ja', decoder = '4', protocol = '5', adres = 'auto', consist_adres = '', bijzonderheden = '', extra_informatie = 'Oorspronkelijk Pruisisch ontwerp (T18) voor de Reichseisenbahnen in Elsa-Lothringen. Door de SNCF werden de locomotieven geregistreerd als SNCF Serie 1-232 TC met de nummers 401 t/m 427.', modelinfo = '', categorie = '3', afbeelding = '218', OVP = '2', start_set = '' WHERE id=202
Bedoelen jullie dit met de echo??? Ja, die ken ik zo langzamerhand wel. Eerder noemde ik dat de uitkomst van mysqli_error($db)
Toevoeging op 27/10/2024 16:06:09:
In mijn reactie op 25 okt gaf ik een serie testen met verschillende waarden van $_POST['set']. Mijn conclusie dat geen van allen werkten was gebaseerd op de "echo's": incorrect integer value. Alle waarden die tot nu toe uit het formulier zijn gekomen, waren strings.
Toevoeging op 27/10/2024 16:21:17:
Ozzie PHP op 26/10/2024 17:47:08:
De waarde leeglaten kan wel, maar dan moet je dus een controle doen: als de waarde leeg is, voer dan NULL in in je query. En zoals Ariën al aangaf moet NULL dan geen string zijn.
'dit is een string'
'NULL' => dit is ook een string!
NULL => dit is NULL (dus geen string) en dit moet je gebruiken in je query
'dit is een string'
'NULL' => dit is ook een string!
NULL => dit is NULL (dus geen string) en dit moet je gebruiken in je query
Als ik in min script dit schrijf: value=null
Dat levert dat ook de echo/foutmelding op:
Code (php)
1
2
2
De SQL-query is: Wijzigen is niet gelukt.
Incorrect integer value: '' for column 'start_set' at row 1
Incorrect integer value: '' for column 'start_set' at row 1
Mijn idee is: Alles wat ik in value type en aan $_POST[] wordt toegekend is een string. Dat is niet het geval als de waarde die aan $_POST[] wordt meegegeven als integer uit de database gehaald is en aan een tijdelijke variabele is toegekend en vervolgens in het formulier als waarde wordt verzonden.
Gewijzigd op 27/10/2024 16:22:40 door Guus Wiegerinck
Je ziet dat ik hier NULL in de database wil zetten, i.p.v. van de 0 die er nu staat. Zie de regel met value=null.
Maar ik kan er ook 0 of '0' of "0" neerzetten. Het maakt allemaal niet uit, alleen de regel if (!EMPTY ($_POST['set'])){$_POST['set'] = (int)$_POST['set'];} maakt het verschil. Maar ook dan blijft er een 0 in de tabel staan.
Code (php)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
<?php
include 'inc\inc_connect_db.php';
if (!EMPTY ($_POST['set'])){$_POST['set'] = (int)$_POST['set'];}
IF(isset($_POST['JA']))
{ //query samenstellen
$queryUpdate =
"UPDATE
modellen
SET
start_set = '".$_POST['set']."'
WHERE
id=".$_POST['id'];
$resultEdit = mysqli_query($db, $queryUpdate) or die("Wijzigen is niet gelukt.<br />" . mysqli_error($db) . "<br /> Query: " . $queryUpdate);
$resultEdit = TRUE;
if($resultEdit === TRUE)
{
echo("Rij nummer".$_POST['id']." is bijgewerkt<br>\n");
echo("<a href=\"javascript:window.close()\">Terug naar overzicht</a>");
}
}
ELSE
{
//indien pagina zichzelf nog nietheeft aangeroepen wijzigingsformulier op scherm zetten
$queryForm = "SELECT * FROM modellen WHERE modellen.id LIKE '".$_GET['id']."'";
$resultForm = mysqli_query($db, $queryForm ) or die ("Er is iets fout gegaan bij het ophalen van gegevens.<br />" . mysql_error() . "<br /> Query: " . $queryForm);
?>
<html>
<head>
<title>Formulier wijzig beschrijving modellen</title>
<link rel="stylesheet" type="text/css" href="css/modellen.css"/>
<script language="javascript" type="text/javascript" src="scripts/popup_mysqldb_adddeledit.js"></script>
<meta http-equiv="Content-type" content="text/html; charset=utf-8" />
</head>
<?php //gegevens uit tabel ophalen en toekennen aan tijdelijke variabelen
while($rij=mysqli_fetch_array($resultForm))
{
$set_id = $rij['start_set'];
}
//(start)sets
if (empty ($set_id)) {$Set[] = "<option SELECTED value=null>n.v.t.</option>\n"; }
// de bestaande startsets uit database halen
$resultSet = mysqli_query($db,
"SELECT * FROM sets ORDER BY Naam") or die ("ophalen (start)sets is niet gelukt.<br />");
while ($set = mysqli_fetch_assoc($resultSet))
{
if ($set['id_set'] == $set_id)
{
$Set[] = "<option SELECTED value=\"".$set['id_set']."\">".$set['Naam']."</option>\n";
}
else
{
$Set[] = "<option value=\"".$set['id_set']."\">".$set['Naam']."</option>\n";
}
}
?>
<body>
<h2>Wijzig deze gegevens</h2>
<p><i>Record nr: <?php echo $_GET['id'] ?></i></p>
<form action="<?php echo($_SERVER["PHP_SELF"]);?>" method="post">
<input type="hidden" name="JA" value="1">
<input type="hidden" name="id" value="<?php echo($_GET['id']);?>">
<table width="100%">
<tr>
<td>(Start)set</td>
<td>
<select name="set"><?php foreach($Set AS $sets) echo $sets ?></select>
</td>
</tr>
</table>
<input type="Submit" value="Wijzigingen bijwerken">
<input type="Button" value="Nee, terug naar overzicht" onclick="javascript:self.close();">
</form>
<?php
//hier wordt else-blok af gesloten
}
?>
</body>
</html>
include 'inc\inc_connect_db.php';
if (!EMPTY ($_POST['set'])){$_POST['set'] = (int)$_POST['set'];}
IF(isset($_POST['JA']))
{ //query samenstellen
$queryUpdate =
"UPDATE
modellen
SET
start_set = '".$_POST['set']."'
WHERE
id=".$_POST['id'];
$resultEdit = mysqli_query($db, $queryUpdate) or die("Wijzigen is niet gelukt.<br />" . mysqli_error($db) . "<br /> Query: " . $queryUpdate);
$resultEdit = TRUE;
if($resultEdit === TRUE)
{
echo("Rij nummer".$_POST['id']." is bijgewerkt<br>\n");
echo("<a href=\"javascript:window.close()\">Terug naar overzicht</a>");
}
}
ELSE
{
//indien pagina zichzelf nog nietheeft aangeroepen wijzigingsformulier op scherm zetten
$queryForm = "SELECT * FROM modellen WHERE modellen.id LIKE '".$_GET['id']."'";
$resultForm = mysqli_query($db, $queryForm ) or die ("Er is iets fout gegaan bij het ophalen van gegevens.<br />" . mysql_error() . "<br /> Query: " . $queryForm);
?>
<html>
<head>
<title>Formulier wijzig beschrijving modellen</title>
<link rel="stylesheet" type="text/css" href="css/modellen.css"/>
<script language="javascript" type="text/javascript" src="scripts/popup_mysqldb_adddeledit.js"></script>
<meta http-equiv="Content-type" content="text/html; charset=utf-8" />
</head>
<?php //gegevens uit tabel ophalen en toekennen aan tijdelijke variabelen
while($rij=mysqli_fetch_array($resultForm))
{
$set_id = $rij['start_set'];
}
//(start)sets
if (empty ($set_id)) {$Set[] = "<option SELECTED value=null>n.v.t.</option>\n"; }
// de bestaande startsets uit database halen
$resultSet = mysqli_query($db,
"SELECT * FROM sets ORDER BY Naam") or die ("ophalen (start)sets is niet gelukt.<br />");
while ($set = mysqli_fetch_assoc($resultSet))
{
if ($set['id_set'] == $set_id)
{
$Set[] = "<option SELECTED value=\"".$set['id_set']."\">".$set['Naam']."</option>\n";
}
else
{
$Set[] = "<option value=\"".$set['id_set']."\">".$set['Naam']."</option>\n";
}
}
?>
<body>
<h2>Wijzig deze gegevens</h2>
<p><i>Record nr: <?php echo $_GET['id'] ?></i></p>
<form action="<?php echo($_SERVER["PHP_SELF"]);?>" method="post">
<input type="hidden" name="JA" value="1">
<input type="hidden" name="id" value="<?php echo($_GET['id']);?>">
<table width="100%">
<tr>
<td>(Start)set</td>
<td>
<select name="set"><?php foreach($Set AS $sets) echo $sets ?></select>
</td>
</tr>
</table>
<input type="Submit" value="Wijzigingen bijwerken">
<input type="Button" value="Nee, terug naar overzicht" onclick="javascript:self.close();">
</form>
<?php
//hier wordt else-blok af gesloten
}
?>
</body>
</html>
Gewijzigd op 27/10/2024 22:37:21 door Guus Wiegerinck
Guus Wiegerinck op 27/10/2024 15:47:34:
Neen, tot jullie erover begonnen, had ik nog nooit van een echo van gehoord. De laatste jaren heb ik me niet meer in php verdiept, het overzicht van mijn treinmodellen was af en werkte. Dus de noodzaak ontbrak.
- Ariën - op 26/10/2024 23:25:53:
Je weet toch wat een string is, en wat een query is? En ook hoe een echo werkt?
Neen, tot jullie erover begonnen, had ik nog nooit van een echo van gehoord. De laatste jaren heb ik me niet meer in php verdiept, het overzicht van mijn treinmodellen was af en werkte. Dus de noodzaak ontbrak.
Nog nooit van 'echo gehoord? Ik schaam me, natuurlijk ken ik 'echo'. Elke keer als ik iets op het scherm wilde zien, gebruikte ik 'echo'. Alleen in combi met mysql-query kende ik het niet.
Toevoeging op 28/10/2024 15:26:57:
- Ariën - op 27/10/2024 22:45:01:
Wat Ozzie zegt, het wordt als een string behandeld. Laat de value in de option gewoon leeg, doe een check met empty, en gebruik dan NULL in je query.
Zie hier wat ik ervan gemaakt heb
Code (php)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
<?php
include 'inc\inc_connect_db.php';
if (empty($_POST['set']))
{
$_POST['set'] = null;
}
else {$_POST['set'] = (int)$_POST['set'];}
echo "De SQL-query is: ".$queryUpdate;
IF(isset($_POST['JA']))
{ //query samenstellen
$queryUpdate =
"UPDATE
modellen
SET
start_set = '".$_POST['set']."'
WHERE
id=".$_POST['id'];
$resultEdit = mysqli_query($db, $queryUpdate) or die("Wijzigen is niet gelukt.<br />" . mysqli_error($db) . "<br /> Query: " . $queryUpdate);
$resultEdit = TRUE;
if($resultEdit === TRUE)
{
echo("Rij nummer".$_POST['id']." is bijgewerkt<br>\n");
echo("<a href=\"javascript:window.close()\">Terug naar overzicht</a>");
}
}
ELSE
{
//indien pagina zichzelf nog nietheeft aangeroepen wijzigingsformulier op scherm zetten
$queryForm = "SELECT * FROM modellen WHERE modellen.id LIKE '".$_GET['id']."'";
$resultForm = mysqli_query($db, $queryForm ) or die ("Er is iets fout gegaan bij het ophalen van gegevens.<br />" . mysql_error() . "<br /> Query: " . $queryForm);
?>
<html>
<head>
<title>Formulier wijzig beschrijving modellen</title>
<link rel="stylesheet" type="text/css" href="css/modellen.css"/>
<script language="javascript" type="text/javascript" src="scripts/popup_mysqldb_adddeledit.js"></script>
<meta http-equiv="Content-type" content="text/html; charset=utf-8" />
</head>
<?php //gegevens uit tabel ophalen en toekennen aan tijdelijke variabelen
while($rij=mysqli_fetch_array($resultForm))
{
$set_id = $rij['start_set'];
}
//(start)sets
if (empty ($set_id)) {$Set[] = "<option SELECTED>n.v.t.</option>\n"; }
// de bestaande startsets uit database halen
$resultSet = mysqli_query($db,
"SELECT * FROM sets ORDER BY Naam") or die ("ophalen (start)sets is niet gelukt.<br />");
while ($set = mysqli_fetch_assoc($resultSet))
{
if ($set['id_set'] == $set_id)
{
$Set[] = "<option SELECTED value=\"".$set['id_set']."\">".$set['Naam']."</option>\n";
}
else
{
$Set[] = "<option value=\"".$set['id_set']."\">".$set['Naam']."</option>\n";
}
}
?>
<body>
<h2>Wijzig deze gegevens</h2>
<p><i>Record nr: <?php echo $_GET['id'] ?></i></p>
<form action="<?php echo($_SERVER["PHP_SELF"]);?>" method="post">
<input type="hidden" name="JA" value="1">
<input type="hidden" name="id" value="<?php echo($_GET['id']);?>">
<table width="100%">
<tr>
<td>(Start)set</td>
<td>
<select name="set"><?php foreach($Set AS $sets) echo $sets ?></select>
</td>
</tr>
</table>
<input type="Submit" value="Wijzigingen bijwerken">
<input type="Button" value="Nee, terug naar overzicht" onclick="javascript:self.close();">
</form>
<?php
//hier wordt else-blok af gesloten
}
?>
</body>
</html>
include 'inc\inc_connect_db.php';
if (empty($_POST['set']))
{
$_POST['set'] = null;
}
else {$_POST['set'] = (int)$_POST['set'];}
echo "De SQL-query is: ".$queryUpdate;
IF(isset($_POST['JA']))
{ //query samenstellen
$queryUpdate =
"UPDATE
modellen
SET
start_set = '".$_POST['set']."'
WHERE
id=".$_POST['id'];
$resultEdit = mysqli_query($db, $queryUpdate) or die("Wijzigen is niet gelukt.<br />" . mysqli_error($db) . "<br /> Query: " . $queryUpdate);
$resultEdit = TRUE;
if($resultEdit === TRUE)
{
echo("Rij nummer".$_POST['id']." is bijgewerkt<br>\n");
echo("<a href=\"javascript:window.close()\">Terug naar overzicht</a>");
}
}
ELSE
{
//indien pagina zichzelf nog nietheeft aangeroepen wijzigingsformulier op scherm zetten
$queryForm = "SELECT * FROM modellen WHERE modellen.id LIKE '".$_GET['id']."'";
$resultForm = mysqli_query($db, $queryForm ) or die ("Er is iets fout gegaan bij het ophalen van gegevens.<br />" . mysql_error() . "<br /> Query: " . $queryForm);
?>
<html>
<head>
<title>Formulier wijzig beschrijving modellen</title>
<link rel="stylesheet" type="text/css" href="css/modellen.css"/>
<script language="javascript" type="text/javascript" src="scripts/popup_mysqldb_adddeledit.js"></script>
<meta http-equiv="Content-type" content="text/html; charset=utf-8" />
</head>
<?php //gegevens uit tabel ophalen en toekennen aan tijdelijke variabelen
while($rij=mysqli_fetch_array($resultForm))
{
$set_id = $rij['start_set'];
}
//(start)sets
if (empty ($set_id)) {$Set[] = "<option SELECTED>n.v.t.</option>\n"; }
// de bestaande startsets uit database halen
$resultSet = mysqli_query($db,
"SELECT * FROM sets ORDER BY Naam") or die ("ophalen (start)sets is niet gelukt.<br />");
while ($set = mysqli_fetch_assoc($resultSet))
{
if ($set['id_set'] == $set_id)
{
$Set[] = "<option SELECTED value=\"".$set['id_set']."\">".$set['Naam']."</option>\n";
}
else
{
$Set[] = "<option value=\"".$set['id_set']."\">".$set['Naam']."</option>\n";
}
}
?>
<body>
<h2>Wijzig deze gegevens</h2>
<p><i>Record nr: <?php echo $_GET['id'] ?></i></p>
<form action="<?php echo($_SERVER["PHP_SELF"]);?>" method="post">
<input type="hidden" name="JA" value="1">
<input type="hidden" name="id" value="<?php echo($_GET['id']);?>">
<table width="100%">
<tr>
<td>(Start)set</td>
<td>
<select name="set"><?php foreach($Set AS $sets) echo $sets ?></select>
</td>
</tr>
</table>
<input type="Submit" value="Wijzigingen bijwerken">
<input type="Button" value="Nee, terug naar overzicht" onclick="javascript:self.close();">
</form>
<?php
//hier wordt else-blok af gesloten
}
?>
</body>
</html>
Ik heb hem getest en het werkt. In de tabel staat wel een 0, geen NULL.
En ik krijg een waarschuwing:
Warning: Undefined variable $queryUpdate in C:\wamp\www\modellenEdit.php on line 23
regel 23:
Code (php)
1
echo "De SQL-query is: ".$queryUpdate;
Soms op de verkeerde plek in het script??? Eerder na uitvoering van de UPDATE, waar ook "or die("Wijzigen is niet gelukt.<br />" . mysqli_error($db) . "<br /> Query: " . $queryUpdate)" staat, zou ik denken.
Toevoeging op 28/10/2024 15:40:11:
ik heb
Code (php)
1
mysqli_real_escape_string($_POST['set']);
weggelaten, want hij produceerde een foutmelding: miste één van de twee benodigde argumenten.
Moest het soms
Code (php)
1
mysqli_real_escape_string($mysqli, $_POST['set']);
Bovendien gaat het op deze plaats om integers, niet im strings.
Trouwens, als ik alles wil escapen, moet ik dat dan per $_POST[] doen? Is nogal omvangrijk.
Gewijzigd op 28/10/2024 15:47:56 door Guus Wiegerinck
Code (php)
1
2
3
2
3
<?php
$resultEdit = TRUE;
?>
$resultEdit = TRUE;
?>
"Ik weet niet of het uitvoeren van de query lukt, maar ik zeg maar zelf even dat het lukt!"
Heel bijzonder, en zeer fout.... :-P
Code (php)
1
2
3
4
5
6
7
8
9
10
11
2
3
4
5
6
7
8
9
10
11
<?php
echo "De SQL-query is: ".$queryUpdate;
$queryUpdate =
"UPDATE
modellen
SET
start_set = '".$_POST['set']."'
WHERE
id=".$_POST['id'];
?>
echo "De SQL-query is: ".$queryUpdate;
$queryUpdate =
"UPDATE
modellen
SET
start_set = '".$_POST['set']."'
WHERE
id=".$_POST['id'];
?>
Dit klopt ook niet. Of ben je helderziend? Want $queryUpdate is nog niet gedefinieerd, wat daaronder gebeurt, en daarvoor wil je al weten wat erin staat?
Over je mysqli_real_escape_string() vraag:
Heb je al op mysqli_real_escape_string gekeken?
Dan kan je zien dat de opbouw als volgt is:
Code (php)
1
mysqli_real_escape_string(mysqli $mysql, string $string): string
(dit is geen code)
Dus: Eerst moet je inderdaad de connectie benoemen in het eerste argument, en in het tweede argument je string, wat ook uit $_POST kan komen. Hierbij kan ik me indenken dat het wel behoorlijk omvangrijk kan zijn met heel veel velden (databasenormalisatie zou een goed idee kunnen zijn als je dit wilt beperken). Maar je kan ook kiezen om 'prepared statements' te gebruiken.
https://www.w3schools.com/php/php_mysql_prepared_statements.asp
Dan hoef je jij niet meer bezig te houden met het constant escapen van alles. Dan doet bind_param() wel.
Gewijzigd op 28/10/2024 18:40:16 door - Ariën -
Quote:
Bovendien gaat het op deze plaats om integers, niet im strings.
Maar jij controleert helemaal niet of het ook een integer IS.
gebruik dan op z'n minst in plaats van $_POST['set'], filter_input(INPUT_POST, 'set', FILTER_VALIDATE_INT).
Wat nu als $_POST['set'] niet "12" bevat, maar zeg
"12' , id='0"
Dan verandert hij niet alleen de kolom set naar 12, maar ook id naar 0.
Maar het wordt spannender als er ipv values ook nog met subquery's gewerkt wordt.
Ik heb dat laatst mogen oplossen voor een bedrijf waar na een pen-test dezelfde aanname "het zijn altijd getallen" een lek veroorzaakte.
Bij de pen-test werd dan als subquery een SLEEP(4) gebruikt.
Dit was tevens het bewijs: als ik de beoogde input gebruik, dan ververst de pagina in 1 seconde, met de toevoeging duurt het 5: ergo het is gevoelig voor sql-injectie.
Maar denk je eens in wat er gebeurt als de subquery updates doet in andere tabellen, records verwijdert of hele tabellen dropt.
Bobby Tables maar weer eens noemen: https://xkcd.com/327/
Ivo P op 29/10/2024 08:33:57:
Maar jij controleert helemaal niet of het ook een integer IS.
Er wordt op regel 9 echter wel getypecast naar een integer:
else {$_POST['set'] = (int)$_POST['set'];}
Niet de meest chique manier wellicht, maar daarmee is wel het mogelijke gevaar dat jij beschrijft ondervangen.
Jij stelt voor een controle d.m.v. een filter_input. Dat gaat natuurlijk ook per veld, dus bij 30 velden ofwel $_POST[]'s in mijn geval is dat natuurlijk een hele klus, net als bij escapen van je input. Overigens geldt dat ook voor typecasten. Zou ik dat willen, dan zou wat Ariën suggereert nl. databasenormalisatie of 'prepared statements'een goed idee kunnen zijn.
Ik stel me een beetje gerust met:
1. De hoofdtabel bestaat uit
* velden die met een nummer verwijzen naar idnr van te koppelen tabellen;
* velden die tekst bevatten en niet verwijzen naar enige andere tabel.
2. Het veld waar het nu over gaat is een selectieveld, geen textarea. Je kunt er niks intypen of andere keuzes maken dan worden voorgelegd. Of bestaan er toch slinkse sluipwegen behalve natuurlijk na een hack rommelen in het script zelf?
3. In de textareas kan ik natuurlijk wel -1, id=0 of '12" typen, maar die zie ik dan gewoon als tekst op het scherm verschijnen. Die hebben geen invloed op de structuur van de applicatie, denk ik.
4. Werken met subqueries, daar heb ik geen kaas van gegeten. Die zal ik dus niet zo gauw toepassen, tenzij ik zoiets nodig heb om een bepaald doel te bereiken.
5. Wat ik niet heb gedaan - een vorm van "het is gemakkelijk zonder - een inlogpagina vooraf te maken, als vorm van beveiliging. Dat is denk ik toch wel belangrijk, voor het geval dat toch ... ondanks het inloggen bij Windows of zo.
Toevoeging op 29/10/2024 14:55:30:
- Ariën - op 28/10/2024 18:39:31:
Dit klopt ook niet. Of ben je helderziend? Want $queryUpdate is nog niet gedefinieerd, wat daaronder gebeurt, en daarvoor wil je al weten wat erin staat?
Deze regel verplaatst na het voltooien van de Update.
Code (php)
1
2
3
4
5
6
2
3
4
5
6
if($resultEdit === TRUE)
{
echo "De SQL-query is: ".$queryUpdate."<br><br>
Rij nummer".$_POST['id']." is bijgewerkt<br>\n
<a href=\"javascript:window.close()\">Terug naar overzicht</a>";
}
{
echo "De SQL-query is: ".$queryUpdate."<br><br>
Rij nummer".$_POST['id']." is bijgewerkt<br>\n
<a href=\"javascript:window.close()\">Terug naar overzicht</a>";
}
Resultaat:
De SQL-query is: UPDATE modellen SET merk = '10 ', artikelnummer = '37075', maatschappij = '6', soort = '20', bedrijf = '', reeks = '232TC 411', klasse = '4', asindeling = '24', lengte = '16.90', interieur = 'nee', verlichting = '10', tijdperk = '2', aantal = '1', railsysteem = '2', stroomsoort = '4', wielmerk = '10', wieldiameter = '0', wielaslengte = '0', motor = '4', gemotoriseerd = 'ja', decoder = '4', protocol = '5', adres = 'automatisch', consist_adres = '', bijzonderheden = '', extra_informatie = 'Oorspronkelijk Pruisisch ontwerp (T18) voor de Reichseisenbahnen in Elsaß-Lothringen. Door de SNCF werden de locomotieven geregistreerd als SNCF Serie 1-232 TC met de nummers 401 t/m 427.', modelinfo = '', categorie = '3', afbeelding = '218', OVP = '2', start_set = '0' WHERE id=202
Quote:
Over je mysqli_real_escape_string() vraag:
Ik heb deze als volgt aangepast
Code (php)
1
mysqli_real_escape_string($db, $_POST['set']);
Ik krijg nu geen waarschuwing/foutmelding meer. De waarde van $_POST['set'] was "leeg" (niks opgegeven als value in de option-regel) en is een 0 geworden, ondanks de $_POST['set'] = null;. Ik denk niet dat het lukt om de waarde NULL[[/u] in de database gezet te krijgen.
Iemand die kwaad wil, probeert daar niet alle waarden die jij in een pulldown plaatst, maar zet daar values naar zijn keuze in.
Dat kun je al doen door met "inspect" in de source van de pagina te rommelen.
Maar liever nog gebruikt iemand dan een speciale tool daarvoor.
Iets als Postman of Insomnia.
Voorbeeld: het ging om het als Afgehandeld markeren van een itme in een lijst. Een simpele klik op het icoontje.
Dan volgt een ajax call met een paar parameters, maar voor het gemak even 1 parameter met het id in kwestie.
Dat ene id, zeg 42, staat dan in een url, of in geval van POST in de body van de call.
https://example.com/setafgehandeld.php?id=42
Onze vriend vulde daar in zijn tool voor in:
https://example.com/afgehandeld?id=42 + ((SELECT FROM (SELECT SLEEP(4)))A' ......)
(ter info   staat voor een spatie en' voor een aprostrof / quootje)
Op ..... gaat het nog even door. In elk geval gaat het om het idee: In plaats van
UPDATE tabel SET afgehandeld = 1 WHERE id = '42'
komt er nu een heel stuk extra bij, waarbij we nu alleen maar een vertraging hebben, maar ook enge dingen kunnen gebeuren.
Het vervelende is, dat je nooit meer snel dergelijke lekken kunt terugvinden: zoals hierboven cast je zelf $_POST['set'] naar een integer.
Ik ben gewend dat $_POST['set'] de onbewerkte versie is, zoals het binnenkomt.
zo behandel ik hem dan ook.
maar als je dat "altijd" zo beveiligt, dan gaat het mis als je ergens bedenkt dat ZET een betere naam is en je dat vergeet aan te passen bij het casten. Of een van de andere 10 redenen waarom dit mis zou gaan. Dan is "altijd" niet meer van toepassing.
En ook in het geval van teksten: je kunt nog zo goed aannemen dat de tekst veilig is en geen hacking kan bevatten: ook een legitieme ' in een tekst over PHP'ers kan een probleem opleveren.
En mijn voorkeur zou ook zijn om altijd prepared statements te gebruiken: het is korter en voorkomt zoektochten of iets al op een andere mnier veilig is gemaakt.
Ivo P op 29/10/2024 15:35:59:
En mijn voorkeur zou ook zijn om altijd prepared statements te gebruiken: het is korter en voorkomt zoektochten of iets al op een andere manier veilig is gemaakt.
Ik heb even gekeken bij prepared statements. Interessant!!!
Voor mij is dat erg "omdenken", de vertaalslag maken van hoe ik php geleerd heb in het boek 'Basiscursus' en mijn applicatie ombouwen. Ik weet niet of ik er genoeg energie voor heb en uitdaging in zie om zo'n klus op te pakken en af te maken. Naast dit werk heb ik meer taken op mijn bord die soms veel energie vragen - wat voor doet even niet terzake = en tijd vergen.
Dat de applicatie weer werkt na de kwestie "Kan geen verbinding maken met Localhost" is al heel wat.