[PHP] mysql_real_escape_string werkt niet

[me1299]

Code:

PHP:

$new_picture = mysql_real_escape_string(maakThumb("tmp", $max_width, $max_height, 80));

Vervolgens krijg ik een mysql error:

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'UDPATE project_fotos SET foto='ÿØÿà\0JFIF\0\0\0\0\0\0ÿþ\0;CREATO' at line 1

maakThumb verkleind het plaatje en output een string met het nieuwe plaatje. Om een duistere reden worden quotes niet allemaal goed escaped.

Iemand?

[Verwijderd]

Volgens mij moet je de foutmelding goed lezen... maakThumb doet schijnbaar meer dan alleen een string outputten... er zit bijvoorbeeld een complete SQL query in de output...

[mithras]

Wat probeer je precies te escapen? Op een blob field hoef je geen escape toe te passen, dat geldt alleen voor user-input strings

[me1299]

Verwijderd schreef op maandag 14 december 2009 @ 15:31:
Volgens mij moet je de foutmelding goed lezen... maakThumb doet schijnbaar meer dan alleen een string outputten... er zit bijvoorbeeld een complete SQL query in de output...

Nou nee ik maak een query met de output van die functie.

PHP:

    $new_picture = mysql_real_escape_string(maakThumb("tmp", $max_width, $max_height, 80));

    $query = "UDPATE project_fotos
                SET
                    foto='{$new_picture}'
                WHERE
                    pkProjectFotoID=1";


    mysql_query($query) or die(mysql_error());

Als ik de funtie direct print krijg ik keurig een plaatje dus daar ligt het niet aan. De situatie is gewoon een string die blijkbaar niet goed escaped wordt door mysql_real_escape_string

[MueR]

Stuur je toevallig ook headers mee in die maakThumb functie? Zo ja, probeer het eens zonder die headers.

[me1299]

MueR schreef op maandag 14 december 2009 @ 15:34:
Stuur je toevallig ook headers mee in die maakThumb functie? Zo ja, probeer het eens zonder die headers.

Nope de functie stuurt geen header mee, doet eigenlijk niet veel meer dan een imagecopyresampled en wat checks.

[frankivo]

code:

foto='{$new_picture}'

doe je dan niet dubbel escapen?

[MueR]

Geef de complete query eens.

frankivo schreef op maandag 14 december 2009 @ 15:38:
doe je dan niet dubbel escapen?

Nee, de {$var} wordt voornamelijk gebruikt voor het aanspreken van arrays/objects binnen een string, maar het kan altijd. Doet verder niks aan escaping

[ Voor 86% gewijzigd door MueR op 14-12-2009 15:39 ]

[pedorus]

Wat is een UDPATE ?

[.oisyn]

Het lijkt me handig als je gewoon even de inhoud van maakThumb() hier post.
.edit: oh wacht nu snap ik 'm, je serialized het plaatje naar een string en wil dát in een database hebben.

[ Voor 42% gewijzigd door .oisyn op 14-12-2009 15:43 ]

[me1299]

MueR schreef op maandag 14 december 2009 @ 15:38:
Geef de complete query eens.

[...]

Nee, de {$var} wordt voornamelijk gebruikt voor het aanspreken van arrays/objects binnen een string, maar het kan altijd. Doet verder niks aan escaping

code:

UDPATE project_fotos SET foto='ÿØÿàJFIFÿþ;CREATOR: gd-jpeg v1.0 (using IJG JPEG v62), quality = 80 ÿÛC   %# , #&')*)-0-(0%()(ÿÛC   (((((((((((((((((((((((((((((((((((((((((((((((((((ÿÀh"ÿÄ ÿĵ}!1AQa"q2‘¡#B±ÁRÑð$3br‚ %&'()*456789:CDEFGHIJSTUVWXYZcdefghijstuvwxyzƒ„…†‡ˆ‰Ŝ’“”•–—˜™š¢£¤¥¦§¨©ª²³´µ¶·¸¹ºÂÃÄÅÆÇÈÉÊÒÓÔÕÖ×ØÙÚáâãäåæçèéêñòóôõö÷øùúÿÄ ÿĵw!1AQaq"2B‘¡±Á #3RðbrÑ $4á%ñ&'()*56789:CDEFGHIJSTUVWXYZcdefghijstuvwxyz‚ƒ„…†‡ˆ‰Ŝ’“”•–—˜™š¢£¤¥¦§¨©ª²³´µ¶·¸¹ºÂÃÄÅÆÇÈÉÊÒÓÔÕÖ×ØÙÚâãäåæçèéêòóôõö÷øùúÿÚ ?ñåtHdepd.ço±à ¥};Í¹Õš|g¾zÒMîÇ”ÈûD™9…#XË2yï2ôç'š‚®Jnîo-Ô5ď(Qòuÿ®Ÿ5ÜA¥o¶mVs¸.I$Ž¿J¯k¦¬èø+,° él¡¸$rA –­µ;h,c€Ï#qØõÝ’GáT%º x—\6âÁ°#×5qt„Â’¹-ÆsŜKM2 &eác$c=y ÏÒ´°®XŽEf\õÍaŒŜv°Áô¢‹ ˜ÿÙ' WHERE pkProjectFotoID=1

En dan heb ik er nog een hoop uit geknipt qua binaire data anders werd het een beetje lang..

[me1299]

pedorus schreef op maandag 14 december 2009 @ 15:40:
Wat is een UDPATE ?

Ah nee dat meen je niet Dat was de oplossing.

* me1299 beschaamd in hoekje gaat zitten.

De error die hier uit voorvloeid eindigd wel altijd op een quote daardoor dacht ik dat hij op een quote hing.

[ Voor 18% gewijzigd door me1299 op 14-12-2009 15:45 ]

[mithras]

1) pedorus in "[PHP] mysql_real_escape_string werkt niet"
2) mithras in "[PHP] mysql_real_escape_string werkt niet"

Oftwel: fix de spellingsfout in je query en kijk eens goed of je niet binaire data aan het returnen bent in je maakThumb() functie
Je bent er al uit dus

[ Voor 5% gewijzigd door mithras op 14-12-2009 15:45 ]

[.oisyn]

mithras schreef op maandag 14 december 2009 @ 15:32:
Wat probeer je precies te escapen? Op een blob field hoef je geen escape toe te passen, dat geldt alleen voor user-input strings

Wat is dat nou voor onzin. Hoe ga jij binaire data dat tekens kan bevatten die mysql op een speciale manier behandelt (zoals ' en \) middels een inline query in een database stoppen dan?

[mithras]

.oisyn schreef op maandag 14 december 2009 @ 15:47:
[...]

Wat is dat nou voor onzin. Hoe ga jij binaire data dat tekens kan bevatten die mysql op een speciale manier behandelt (zoals ' en \) middels een inline query in een database stoppen dan?

Woeps Dat is nogal een onzin statement eigenlijk, excuse. Ik gebruik louter prepared statements tegenwoordig, door alle geautomatiseerde tussenlagen vergeet je dat het in situaties toch best nodig is...

[Voutloos]

DeathKnight24 schreef op maandag 14 december 2009 @ 15:44:
[...]
Ah nee dat meen je niet Dat was de oplossing.

* Voutloos beschaamd in hoekje gaat zitten.

De error die hier uit voorvloeid eindigd wel altijd op een quote daardoor dacht ik dat hij op een quote hing.

Het gaat in 9 vd 10 gevallen om het begin van de error, dat is juist het punt waar mysql de weg kwijt raakt.

[MueR]

pedorus schreef op maandag 14 december 2009 @ 15:40:
Wat is een UDPATE ?

Zo'n tikfout waar je uren naar kan staren zonder het te zien.

[cariolive23]

MueR schreef op maandag 14 december 2009 @ 16:25:
[...]

Zo'n tikfout waar je uren naar kan staren zonder het te zien.

Je kunt het wel zien, althans in 9 van de 10 gevallen. De foutmelding begint bij het statement waar het fout gaat, waar de parser de kluts kwijt raakt. In dit geval bij "udpate" en niet bij de string waar de binaire data staat.

Er zijn uitzonderingen, maar die bevestigen de regel.