[Postgresql / PHP] Single quote als null waarde opgeslagen

[Verwijderd]

Bij het opslaan van gegevens in een Postgresql database wordt een single quote ( ' ), opgeslagen als null value in de database.

In het invulveld bij description voer ik de volgende waarde in: Jeroen '
Na het uitvoeren van de functie: pg_escape_string op de get variabele, staat er het volgende in de GET variabele:

code:

Array
(
    [fuseaction] => users_groups.save_user
    [user_id] => 1
    [name] => Jeroen
    [password1] => 
    [password2] => 
    [emailaddress] => test
    [description] => Jeroen \\''
    [organisation_id] => 1
)

Als ik vervolgens via php de gegevens in de database insert via een stored procedure, komt er in de database in het description veld het volgende te staan: Jeroen \null

Wanneer ik direct op de database de volgende query uitvoer, komt het wel juist in de DB te staan:

update user set description = 'Jeroen \\''';

Iemand een idee hoe ik dit kan voorkomen?

[ Voor 6% gewijzigd door Verwijderd op 29-05-2006 10:42 ]

[.oisyn]

Sowieso moet je je magic_quotes_gpc even uitzetten of zelf teniet doen, want zo te zien wordt er dubbel geescaped.

[Verwijderd]

Ja, dat is waar. maar dat lost het probleem niet op.

[igmar]

En je weet zeker dat die SP het probleem niet is ?

[Verwijderd]

Nou in de SP doe ik niet veel anders dan dit:

code:

UPDATE org_user SET name = _name, emailaddress = _emailaddress, description = _description, organisation_id = _organisation_id WHERE user_id = _user_id;

Waar _description gewoon de variabele is, die aan de sp wordt mee gegeven. De sp roep ik op deze manier aan:

code:

pg_query ($this->dbconnection, $this->sql);

De waarde in $this->sql is:

code:

select set_update_org_user_proc(1, '2006-05-29 11:06:08.448002', 1, 'Jeroen', null, 'test', 'Jeroen \\null', 1)

[Verwijderd]

aii, ik heb het al gevonden. In m'n DB classe heb ik een fout gemaakt bij het replacen van empty strings.

[hamsteg]

Ik snap niet waarom [jeroen '] ge-escaped wordt naar [jeroen \\''], ik verwacht namelijk [jeroen ''], die \\ horen er niet in. Kan het zijn dat de input uit je form default ge-escaped wordt door de post method en dat je eerst een unescape moet gebruiken op de string voordat je hem aan pg_escape_string() geeft?

Heb even PHP.net geraadpleegt wordt niet veel wijzer. Interessant: bij addslashes() stond een opmerking:

Also, it is worth mentioning that PostgreSQL will soon start to block queries involving escaped single quotes using \ as the escape character, for some cases, which depends on the string's encoding. The standard way to escape quotes in SQL (not all SQL databases, mind you) is by changing single quotes into two single quotes (e.g, ' ' ' becomes ' '' ' for queries).

You should look into other ways for escaping strings, such as "mysql_real_escape_string" (see the comment below), and other such database specific escape functions.

[Verwijderd]

ik voer op elke get variabele de volgende funties uit

$_GET = array_map('htmlspecialchars', $_GET);
$_GET = array_map('pg_escape_string', $_GET);

code:

[description] => jeroen \'

wordt vervolgens

code:

[description] => jeroen \\''

[hamsteg]

Zie waarschuwing mijn vorige posting, zorg er voor dat ook de single quotes (in 'htmlspecialchars')worden omgezet.

This function is useful in preventing user-supplied text from containing HTML markup, such as in a message board or guest book application. The optional second argument, quote_style, tells the function what to do with single and double quote characters. The default mode, ENT_COMPAT, is the backwards compatible mode which only translates the double-quote character and leaves the single-quote untranslated. If ENT_QUOTES is set, both single and double quotes are translated and if ENT_NOQUOTES is set neither single nor double quotes are translated.

gebruik dus ENT_QUOTES.

[Janoz]

Het is bij dit soort conversie slagen altijd handig om bij te houden waarom iets waarin veranderd. Waarschijnlijk staat het automatisch escapen van get en post variabelen aan waardoor er nu dingen dubbel gebeuren. Bedenk je eens waarom je die eerste slash nodig hebt.