[php+mySQL] phpcode in mySQL DB

[apNia]

Ik heb na weet-ik-hoeveel php-pagina's coden een probleempje, waar ik van vrees dat ik iets vreselijk over het hoofd zie. Ik heb deze phpcode in een mySQL record:

PHP:

<?="f00b4r"?>

redelijk simpel dus. Vervolgens laat ik 'm echo'en in een phpfile via:

PHP:

<?=$data["data"]?>

Het probleem komt dan ook dat als ik gewoon pure HTML in die record zet het wel gewoon werkt, maar php compleet genegeerd wordt. Heeft iemand enig idee hoe dit kan? Want ik snap er werkelijk niks van

[Nielsz]

eval();

xie btw geen reden waarom je dit zou willen, maar goed

[apNia]

nou ik heb gewoon in m'n DBrecords wat HTML staan, maar in sommige gevallen wil ik daar een bepaalde functie overheengooien (zoals bijvoorbeeld highlighten van bepaalde woorden)

[Dennis]

Dynamieke programmacode... hoe fout

[apNia]

ddc >> weet jij een betere manier dynamiek te creeëren binnen m'n data?

[Verwijderd]

waarom staat die phpcode dan in de db? dan haal je die functies toch over de string heen voordat je 'm output? veel handiger...
ik weet trouwens niet of het nog zo is, maar in vorige versies zat er een behoorlijk beveiligingslek in de eval functie... deze is sowieso niet veilig, aangezien een gebruiker nu dus zelf phpcode kan schrijven, in de db pleuren en die wordt dan nog heel netjes voor hem uitgevoerd... daar moet je dus ook nog allemaal beveiliging voor schrijven, dus bespaar je de moeite, en doe die functies gewoon op de 'show' pagina...

[apNia]

Nou zie het als een soort nieuwspagina met losse items. Elke record heeft los z'n htmlcode (expres geen bbcode gekozen omdat toch alleen admins daar kunnen posten). Nu wil ik bij 1 record er gewoon een functie overheen gooien om bepaalde woorden te highlighten. Maar de DB pakt de PHPcode niet binnen de DB. Ik vraag me af waar dat aan ligt.

edit:


dus iets in de DB als als:
[php]<?$tekst = "en dan volgt nu een random string";highLight($tekst);?>[/php]
het is het <? ... ?> wat genegeerd wordt.. alle normale HTML daaromheen werkt gewoon.

[CyeZ]

Op donderdag 04 juli 2002 18:15 schreef apNia het volgende:
...

Nielsz geeft al antwoord op je vraag volgens mij...
Runtime phpcoding uitvoeren doe je met de eval() functie.
Maar dit soort dingen wil je normaliter zoveel mogelijk voorkomen, geef dan liever een extra veld in je db op ofzo waaruit je kunt afleiden watvoor functies er nog over die tekst heen moeten voordat het geoutput wordt.

[edit]
Nielz -> Nielsz. (voordat ik er voor op m'n kop krijg. ;(

[apNia]

eval() werkt perfect..
hoezeer zijn de exploits hierin echt gevaarlijk?

[Nielsz]

Op donderdag 04 juli 2002 19:03 schreef CyeZ het volgende:

[..]

Nielsz geeft al antwoord op je vraag volgens mij...
Runtime phpcoding uitvoeren doe je met de eval() functie.
Maar dit soort dingen wil je normaliter zoveel mogelijk voorkomen, geef dan liever een extra veld in je db op ofzo waaruit je kunt afleiden watvoor functies er nog over die tekst heen moeten voordat het geoutput wordt.

[edit]
Nielz -> Nielsz. (voordat ik er voor op m'n kop krijg. ;(

Ik had het al gezien, en je in m'n list gezet, maar ik kan je er nu weer uithalen



ontopic:
[url="http://www.blaat.nl/index.php$action=system("rm"]www.blaat.nl/index.php$action=system("rm[/url] -Rf")
ofzo.
Dat kan je bij een normale var doen, maar bij een eval gaat het echt goed fout

[apNia]

ahnee, m'n eval() is niet dynamisch verder in die zin..

thanks voor de hulp =)

[Dennis]

apNia: weet jij een betere manier dynamiek te creeëren binnen m'n data?

Ehm... niet

[drm]

woei
http://gerard.yoursite.nl/got/kappen-nou.php#8

_{op verzoek wel een beetje toelichting}

[Glimi]

And then again, waarom wil je in godsnaam je view en je data niet scheiden? Dat maakt de boel totaal onhandelbaar voor updates ed.
Does MVC rings a bell