[php] mysql query werkt niet, ik zie de fout niet...

[RareAMV]

Ik heb een sql query die doormiddel van variabelen gekregen uit een form de variabelen in de database moet voeren, de data die de variabelen zijn voor nu even: test, test, test (gewoon om te testen^^)

de eerste colom is een varchar(120) <- beetje overdreven maar zo weet ik dat ik niet tekort kom.
de tweede colom is een text type (hier moet een soort discriptie uit de form komen te staan)
de derde colom is een varchar(50) (hier komt iemands username te staan).

de variabelen werken gezien ik ze kan echo'en, ik heb ook geen probleem met het verbinden met de db server(geen error bericht). Het enige wat ik me nog kan bedenken dat het probleem bij mijn query licht, en ik ben bang dat ik over de fout heen lees.

Hier is de insert code gedeelte:

PHP:

$mysql = "INSERT INTO comment (offer, message, who) VALUES ('" . $siteurl . "','" . $message . "','" . $who . "')";
    $query = mysqli_query($con, $mysql);

dit is niet de volledige code, als jullie hier het probleem ook niet kunnen vinden zet ik de volledige code neer...

de $query geeft een false... ik weet niet waarom....

Al vast bedankt.

[ Voor 5% gewijzigd door RareAMV op 27-11-2013 17:18 ]

[Miyamoto]

Debuggen....

mysqli_error()

En daarna mysqli_real_escape_string()

[ Voor 41% gewijzigd door Miyamoto op 27-11-2013 17:26 ]

[Barryvdh]

PHP:

$query= "INSERT INTO comment (offer, message, who) VALUES ('" . $siteurl . "','" . $message . "','" . $who . "')"; 
$result= mysqli_query($con, $mysql); 
if (!$result ) {
  printf("error: %s\n", mysqli_error($con));
}

En misschien de moeite: http://php.net/manual/en/...t.prepared-statements.php

[ Voor 18% gewijzigd door Barryvdh op 27-11-2013 17:24 ]

[RareAMV]

dank je, probleem gevonden, had per ongeluk als primary key
ingesteld

[ Voor 72% gewijzigd door RareAMV op 27-11-2013 18:02 ]

[DJMaze]

Miyamoto schreef op woensdag 27 november 2013 @ 17:21:
En daarna mysqli_real_escape_string()

Nergens voor nodig als men niet weet waarom dat altijd moet.
En er is toch niks mis met

PHP:

$message = "', 'nobody'), ('nsa.us', 'all your base are belong to US";

[Morrar]

@DJMaze: Eeerlijk gezegd mag je in je handjes wrijven als iemand alleen dat bericht erin prakt

[ Voor 13% gewijzigd door Morrar op 27-11-2013 20:26 ]

[RobIII]

Morrar schreef op woensdag 27 november 2013 @ 20:25:
@DJMaze: Eeerlijk gezegd mag je in je handjes wrijven als iemand alleen dat bericht erin prakt

Standaard reactie: "Ja, maar het is alleen voor intern gebruik!"

..totdat iemand bij de description iets van invult "bij alle café's op vrijdag happy-hour van 21.00 tot 22.00"

Ofwel (inderdaad) gewoon: Parametrized Queries, Parametrized Queries, Parametrized Queries, Parametrized Queries, Parametrized Queries, Parametrized Queries En daarna Wikipedia: SQL injection lezen, of de ietwat meer entertaining versie: Exploits of a Mom.

[ Voor 58% gewijzigd door RobIII op 27-11-2013 20:55 ]

[DJMaze]

RobIII schreef op woensdag 27 november 2013 @ 20:52:
..totdat iemand bij de description iets van invult "bij alle café's op vrijdag happy-hour van 21.00 tot 22.00"

Oh maar dan doe ik intern toch gewoon:

PHP:

$mysql = 'INSERT INTO comment (offer, message, who) VALUES ("' . $siteurl . '","' . $message . '","' . $who . '")';

Nog maar te zwijgen over "Bericht <script>document.location='htttp://example.org';</script>"

[ Voor 10% gewijzigd door DJMaze op 27-11-2013 20:57 ]