PHP4 vraagje

[Verwijderd]

hallo,

ik ben even aan het kijken of PHP wat voor mij is
maar nu loop ik gelijk tegen een probleem aan.

Het is me gelukt om PHP4 met apache 2 en mysql 5 te installeren en te configueren.
Alles draait op dit moment. maar ik heb een probleem met een scriptje.
ik wil een simpel guestbook maken waarvoor ik een invoerschermpje heb gemaakt en een submit knop die dan de gegevens moet doorsturen naar de database middels een ander script.
echter geeft hij aan dat de variabele niet gedefinieerd is ( ik denk vanuit script 1 )
ik dacht dat het te maken had met die register globals maar die heb ik zowel met on als off geprobeert zonder resultaat.. wie kan me helpen?

belangrijkste delen Script 1 (sign.php):
<form method=post action="create_entry.php">
<input type=submit name=submit value="Sign!">
<input type=reset name=reset value="Start Over">

script 2 create entry:

<?php
include("connect.php");
if ($submit == "Sign!")
{
$query = "insert into guestbook
(name,location,email,url,comments) values
('$name', '$location', '$email', '$url', '$comments')"
;
mysql_query($query) or
die (mysql_error());
?>
<h2>Thanks!</h2>
<h2><a href="view.php">View My Guestbook</a></h2>
<?php
}
else
{
include("sign.php");
}
?>

[Michali]

Om welke regel en welke variabel gaat het dan? Waarom zou je trouwens met PHP4 beginnen als PHP5 al uit is? Register globals hoort overigens uit te staan en je hoort dan gebruik te maken van $_GET['var'] en $_POST['var'].

[gertvdijk]

Ga eerst maar wat leren
Buiten dat het niet werkt met slechts $submit... en je het zou vervangen met het goede $_POST['submit'] dan heb je een gevaarlijk script geschreven.
Stel je namelijk eens voor dat iemand als comment opgeeft: '; DROP TABLE ***; '
(met de aanhalingstekens)
Dan verwijdert diegene de tabel *** in je database.
Dit fenomeen (willekeurige queries kunnen uitvoeren door een willekeurige bezoeker) heet SQL-injection.

offtopic:
Drontenaar

[ Voor 27% gewijzigd door gertvdijk op 18-01-2006 08:29 ]

[Justifier]

Verwijderd schreef op woensdag 18 januari 2006 @ 08:19:

code:

<?php
include("connect.php");
[b]if ($submit == "Sign!")[/b]{
        $query = "insert into guestbook
            (name,location,email,url,comments) values
            ('$name', '$location', '$email', '$url', '$comments')"
        ;
        mysql_query($query) or
                die (mysql_error());

dat dik gedrukte kan niet want daar staat dat als $submit sign is dan gaat hij door maar je hebt nergens neergezet van $submit is.

[ Voor 23% gewijzigd door Justifier op 18-01-2006 08:26 ]

[Verwijderd]

zo wat een aandacht deze morgen
ja logisch Justifier.. hij geeft ook aan dat het om de $submit variabele gaat die niet gedefinieerd is.
Dank je wel Gert.. duidelijk..ik ben zoals aangegeven net begonnen en draait het local dus op zich zal iemand dat nu niet bij me doen.. maar bedankt voor de waarschuwing..
Ik ga even kijken of ik er uit kom met $_post..
dank jullie allen

[CodeCaster]

Je kunt dit injection afvangen door één functie te schrijven die je in je hele applicatie gebruikt.

Deze functie checkt dan je POST gegevens op gevaarlijke woorden, zoals "drop, insert, create" enz.

Althans, zo deed ik het in ASP, en sinds mijn nieuwe host enkel PHP ondersteunt zal ik nog moeten uitvinden of dit in PHP ook zo werkt.

In ieder geval valt dit topic onder puur debugwerk en ben ik bang dat een langskomende mod niet blij wordt

[frickY]

Leer asjeblieft zo snel mogelijk af om "if ($submit == "Sign!")" te gebruiken

Gebruik bij voorkeur;

PHP:

<?
if($_SERVER['REQUEST_METHO(D'] == "POST") {
  ...
}
?>

Verder lijkt het me een kwestie van debuggen om de fout te vinden. Echo her en der je variabelen om te zien of er in zit wat je verwacht dat er in zit.

@CodeCaster
Die functie is al voor je geschreven; mysql_escape_string()

[ Voor 57% gewijzigd door frickY op 18-01-2006 09:21 ]

[gertvdijk]

frickY schreef op woensdag 18 januari 2006 @ 09:19:
[knip]
@CodeCaster
Die functie is al voor je geschreven; mysql_escape_string()

Ik wou net zeggen...

@ TS
Wat ik je zou willen aanraden is een Beginnersboek over PHP/MySQL. Ik heb deze. Er is ook een PHP4 versie. Het heeft me zeer goed op weg geholpen. Na een week heb ik het boek niet meer gebruikt, maar toch staan er voorbeelden in van onschatbare waarde voor een beginner die snel wat wil leren.

[NMe]

En daarmee wil ik dit topic graag ook afsluiten. Het merendeel van de foutjes die in dit topic genoemd worden staat namelijk ook goed uitgelegd in onze FAQ. Tyn_flr, ik zou het fijn vinden als je die in het vervolg even wil doornemen voordat je een topic opent.