[PHP] Query.php

[dik_voormekaar]

Ik heb een scriptje gemaakt om queries te kunnen ingeven naar de database.

code:

<form action="query.php" method="post">
Enter Query : <br><textarea rows="10" cols="50" name="query"></textarea><br>
<input type="submit" name="submit" value="Send Now!"><br>
</form>

<?php
if (isset($_POST['submit']))
{
    $con = mysql_connect("localhost","root","") or die('Could not connect: ' . mysql_error());
    mysql_select_db("my_db", $con);

    $sql = $_POST[query];
    echo "Query = ",$sql,"<br>";

    $result = mysql_query($sql,$con) or die('Error: ' . mysql_error());
    echo "Result of query : [$result]<br>";

    if ($result <> 1)
    {
        echo "<table border='1'>";
        $num = mysql_num_fields ($result);
        while ($row = mysql_fetch_array($result)) 
        {
            echo "<tr>";
            for ($i=0; $i<$num; $i++) echo "<td>".$row[$i]."</td>";
            echo "</tr>";
        }
        echo "</table>";
    }

    echo "Query succesfully executed<br>";

    mysql_close($con);
}
?>

Het werkt als ik

code:

SELECT * FROM person ingeef

Als ik echter iets als dit ingeef, dan werkt het niet.

code:

INSERT INTO person (FirstName, LastName, Age)
VALUES ('Fred','Flinstone','44')

Ik krijg hierop de volgende foutmelding :
Error: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '\'Fred\',\'Flinstone\',\'44\')' at line 2
Kennelijk gaat er hier iets niet goed met de quotes bij string.
Weet iemand wat hier mis kan zijn?

[ChessSpider]

http://us3.php.net/manual/en/function.stripslashes.php
stripslashes eroverheen doen.
Je weet dat dit super onveilig is en nóóit online zetten zodat andere mensen erbij kunnen komen?

[StevenK]

dik_voormekaar schreef op zaterdag 22 september 2007 @ 22:24:
Ik krijg hierop de volgende foutmelding :
Error: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '\'Fred\',\'Flinstone\',\'44\')' at line 2
Kennelijk gaat er hier iets niet goed met de quotes bij string.
Weet iemand wat hier mis kan zijn?

Er is niets mis, maar je quotes zijn ge-escaped.

[Verwijderd]

Ik zou phpmyadmin gebruiken voor het testen/uitvoeren van queries op de database.
de decimale waarde 44 heeft geen quote's nodig volgens mij

[SchizoDuckie]

Je weet wat er gebeurt als ik nu

SQL:

drop table person;

ingeef als sql he?

[Pete]

Die slashes zitten er omdat op je server magic quotes aanstaan. Normaal zorg ik liever zelf voor escaping als dat nodig is en dan kijk ik met get_magic_quotes_gpc of er geescaped is en zo ja gooi ik over al mijn inputarray's stripslashes.

[dik_voormekaar]

SchizoDuckie schreef op zaterdag 22 september 2007 @ 23:07:
Je weet wat er gebeurt als ik nu

SQL:

drop table person;

ingeef als sql he?

Ja, ik weet dat het heel onveilig is, maar daar gaat het niet om.
Nog leuker is "drop database...".
Ik wil dit uitproberen om wat te kunnen spelen met SQL statements.
Hopelijk gaat strip-slashes werken...

[ Voor 4% gewijzigd door dik_voormekaar op 23-09-2007 13:13 ]

[dik_voormekaar]

Verwijderd schreef op zaterdag 22 september 2007 @ 22:35:
[...]
de decimale waarde 44 heeft geen quote's nodig volgens mij

Dat klopt, dat is de enige die wel werkte.

[ Voor 20% gewijzigd door dik_voormekaar op 23-09-2007 13:12 ]

[Snake]

dik_voormekaar schreef op zondag 23 september 2007 @ 13:11:
[...]

Ja, ik weet dat het heel onveilig is, maar daar gaat het niet om.
Nog leuker is "drop database...".
Ik wil dit uitproberen om wat te kunnen spelen met SQL statements.
Hopelijk gaat strip-slashes werken...

Wil je spelen met SQL statements, haal dan MySQL Query Browser af, onderdeel van MySQL GUI tools!