[php] variabele meegeven werkt niet in nieuwe versie?

[spaceboy]

Ik ben al een tijdje niet meer aan het php'en, maar sinds kort is onze familie-website verhuisd naar een andere provider. Gevolg: onze php-site werkt niet meer.

Ik krijg deze melding:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '' at line 1

Ik heb gecheckt welke versie MySQL en php die nieuwe provider gebruikt:
Dat is MySQL 4.1.22 en PHP 5.2.17.

De regel waar het fout gaat:
$SQL1 = mysql_query("SELECT * FROM tabel WHERE NID=".$NID, $db)
or die(mysql_error());

Ik roep de php aan met pagina1.php?NID=220. Als ik in de code hierboven de SQL statement aanpas naar "... WHERE NID=220" gaat het prima.

Weet iemand of er iets veranderd is met het aanroepen/meegeven van variabelen?

[Morax]

Zoek eens naar register_globals, en leer dat het maar beter uit kan staan dan aan

[Helmet]

register_globals staat waarschijnlijk uit je nieuwe host waardoor ?NID=220 niet omgezet wordt naar $NID. Je variabele vind je waarschijnlijk terug in $_GET['NID'].

Overigens zit er in de code die jij post een enorm groot beveiligingslek wat nu als ik post pagina1.php?NID='';DELETE * FROM tabel dan verandert je query ineens naar: Select * FROM Tabel WHERE NID=''; DELETE * FROM tabel. Om dit tegen te gaan kun je de input escapen

Overigens is deze feature deprecated zie ook:
http://php.net/manual/en/security.globals.php

[Voor 20% gewijzigd door Helmet op 24-06-2011 15:35]

[Keiichi]

Ik denk dat het met de openingstag te maken heeft. (wat staat er anders op regel 1?)

Gebruik je <? of <?php ?

[Voor 69% gewijzigd door Keiichi op 24-06-2011 15:39]

[Spinal]

Keiichi schreef op vrijdag 24 juni 2011 @ 15:35:
Ik denk dat het met de openingstag te maken heeft. (wat staat er anders op regel 1?)

Gebruik je <? of <?php ?

Nee, dat is regel 1 van het SQL-statement, niet van het PHP-bestand

[Helmet]

Keiichi schreef op vrijdag 24 juni 2011 @ 15:35:
Ik denk dat het met de openingstag te maken heeft. (wat staat er anders op regel 1?)

Gebruik je <? of <?php ?

Heeft er natuurlijk niets mee te maken anders zou zijn script ook niet werken als hij de variabele hard in de code zet ;-)

[Keiichi]

ZanderZ schreef op vrijdag 24 juni 2011 @ 15:40:
[...]

Nee, dat is regel 1 van het SQL-statement, niet van het PHP-bestand

bijna weekend.

[spaceboy]

Thanks allemaal. Dat was het inderdaad (met die $_GET).

Ik ben het er helemaal mee eens dat het hartstikke gaar is qua beveiliging, maar het is een familie-website en zelfs al DOET iemand een delete * dan is er nog geen man over boord. Voorlopig laat ik het maar ballen, als ik het zo inschat is het aanpassen van een (brakke) PHP4 site naar een werkende PHP5 site dus lastiger dan gedacht.

En om eerlijk te zijn... meer dan een uurtje mag het mij niet kosten. Toch bedankt!!

[NMe]

Volgende keer even de FAQ doorlezen voor je post.
Programming FAQ - PHP: Mijn POST en GET forms werken niet (meer)