{PHP] waarde in MYSQL query met LIKE %

[chicky]

Hoi,

Ik haal een waarde uit een pagina met een combobox, die ik met Post doorgeef aan een volgende pagina.
Als ik in de combobox niets wil invullen, is de default waarde uit de combobox %.

nu wil ik graag in de query een LIKE statemnt gebruiken, zodat als er niets is ingevuld, er naar alles wordt gezocht;

PHP:

    <form action='test1.php' method='post'>
        <SELECT name='Auto'>
        <option value='%'>Maakt niet uit</option>
        <option value='Audi'>Audi</option>
        <option value='VW'>VW</option>
        </SELECT>
        <input type="submit" name="Submit" value="Zoek"> 
    </form>

Dan haal ik in de volgende pagina de waarde op;

PHP:

$Auto_merk = $_POST['Auto'];

$query = "SELECT * FROM Auto WHERE Merk=LIKE $Auto_merk ";

result = mysql_query($query, $connect) 
or die(mysql_error());
?>

Ik blijf nu problemen houden dat de waarde % uit de eerste pagina niet goed in de query terecht komt.
Ik heb al van alles geprobeerd qua syntax, maar blijf tegen het probleem aanlopen. (% tussen haakjes, % tussen quotes, % met \ tussen haakjes, % met \ tussen quotes enz. enz.)

Kan iemand mij vertellen wat de juiste syntax moet zijn.

Thx

[ThunderNet]

PHP:

$Auto_merk = "";
$Auto_merk = $POST['auto'];
$Auto_merk = "'" . $Auto_merk . "'";
$Auto_merk = mysqli_real_escape_string($Auto_merk);

if ($Auto_merk == "''") {
    $Auto_merk = "'%%'";
} 

$query = "SELECT * FROM Auto WHERE Merk LIKE $Auto_merk";

En als je bij VW ook resultaten als aVWa wilt hebben:

PHP:

$Auto_merk = "";
$Auto_merk = $POST['auto'];

$Auto_merk = mysqli_real_escape_string($Auto_merk);
$Auto_merk = "'%" . $Auto_merk . "%'";

$query = "SELECT * FROM Auto WHERE Merk LIKE $Auto_merk";

Waarom maak je eigenlijk gebruik van mysql en niet van mysqli?

[CodeCaster]

Wat nou als ik het volgende html-bestandje aanmaak op mijn pc:

HTML:

<form action='http://jouwsite.nl/test1.php' method='post'>
        <select name='Auto'>
        <option default="default" value=" ''; drop table Auto; ">Attaque</option>
        </select>
        <input type="submit" name="Submit" value="DoIt"> 
    </form>

[chicky]

@ThunderNet

Dank je wel

De oplossing met:

PHP:

if ($Auto_merk == "''") {
    $Auto_merk = "'%%'"; 
}

Werkt perfect. (was ik echt niet zelf achter gekomen)


@CodeCaster

Ik zou niet precies weten wat er dan gebeurd (newbie mode), maar ik heb het vermoeden dat dit nu precies een SQL injectie is.
Ik zou niet precies weten hoe ik het maak of wat ik er aan kan doen. Ik hoop dat je me dat alsnog gaat uitleggen.

(ondertussen is het 0:45 en moet ik morgen weer werken, dus ik kijk morgen verder )

[RobIII]

chicky schreef op donderdag 12 februari 2009 @ 00:44:
Ik zou niet precies weten wat er dan gebeurd (newbie mode), maar ik heb het vermoeden dat dit nu precies een SQL injectie is.

chicky schreef op donderdag 12 februari 2009 @ 00:44:
Ik zou niet precies weten hoe ik het maak of wat ik er aan kan doen. Ik hoop dat je me dat alsnog gaat uitleggen.

Ik mag hopen dat je dat zelf ook prima kunt vinden via Google, wikipedia of onze eigen search. Er is méér dan genoeg over geschreven. We zijn hier geen afhaalbalie voor al je vragen waar je zelf te lui voor bent om uit te zoeken.

CodeCaster schreef op donderdag 12 februari 2009 @ 00:20:
Wat nou als ik het volgende html-bestandje aanmaak op mijn pc:

HTML:

<form action='http://jouwsite.nl/test1.php' method='post'>
        <select name='Auto'>
        <option default="default" value=" ''; drop table Auto; ">Attaque</option>
        </select>
        <input type="submit" name="Submit" value="DoIt"> 
    </form>

Moeilijk doen als 't makkelijk kan In FF kun je dat soort zaken gewoon met de Web Developer Toolbar en/of Firebug aanpassen op de pagina die je op dat moment bekijkt

[ Voor 33% gewijzigd door RobIII op 12-02-2009 00:51 ]