Problem mit Semikolon in SQL-Statement

[stvn]

Moin,

kann mir mal bitte jemand sagen, wie ich das richtig schreibe?;ugl

Also der Fehler liegt meiner Meinung nach wohl hier "'....'"

if (empty($_POST[Beverage]))	{$beverage 	= NULL;} 	else {$beverage	= "'$_POST[Beverage]'";}
if (empty($_POST[Company]))	{$company 	= NULL;} 	else {$company 	= "'$_POST[Company]'";}
if (empty($_POST[Brand]))		{$brand 	= NULL;} 	else {$brand 	= "'$_POST[Brand]'";}
if (empty($_POST[Country]))		{$country 	= NULL;} 	else {$country 	= "'$_POST[Country]'";}
if (empty($_POST[Category]))	{$category 	= NULL;} 	else {$category	= "'$_POST[Category]'";}

$sql = "
	INSERT INTO entries
		(ID,Beverage,Company,Brand,Country,Exchange,Category,Quantum)
	VALUES
		('',$beverage,$company,$brand,$country,'$_POST[Exchange]',$category,'$_POST[Quantum]')
";

mysql_query($sql) OR die(mysql_error());

Danke!
stvn

 

[stvn]

Ich habe den Fehler gefunden. Der Punkt am Ende. Wobei mir schleierhaft ist, wo der auf einmal herkam, denn wie ihr seht, steht dieser ja hier auch nicht im ersten Post, obwohl ich es einfach nur rauskopiert habe.:(;ugl

$sql = "
    INSERT INTO entries
        (ID,Beverage,Company,Brand,Country,Exchange,Category,Quantum)
    VALUES
        ('',$beverage,$company,$brand,$country,'$_POST[Exchange]',$category,'$_POST[Quantum]')
".

 

[Wustersoss]

Warum nimmst du denn übergebene Parameter ungeprüft in die Datenbank?
Ist dir denn nicht bewusst, das jeder diese Daten mit einer Zeile Code einfach löschen kann.
Du solltest nur Parameter übernehmen, die du auf Gültigkeit anhand einer Whitelist geprüft hast.

1. Beispiel für eine Whitelist:
Du erwartest im Formular Zahleneingaben von 1-31 für den Tag des Monats.
Dann nimmst du die Variable und prüfst auf Ziffern mit PHP: ctype_digit - Manual auf Validität. Alles was nicht zutrifft, wird verworfen und als Fehler gewertet.
Danach prüfst du ob der wert innerhalb des Gültigkeitsbereiches liegt. Da kann man dann entsprechend reagieren, zum Beipiel bei Werten grösser als 31 immer 31 nehmen oder einen Hinweis ausgeben für den Benutzer.

2. Beispiel für eine Whitelist:
Du erwartest im Formular eine Eingabe von Getränken, weisst aber nicht welche.
Dann lässt du nur Zeichen aus dem Alphabet zu plus die deutschen Umlaute. weiterhin begrenzt du die Länge.
Alles was nicht zutrifft, wird verworfen und als Fehler gewertet.

Niemals übernimmst du PHP: Superglobals - Manual ungeprüft in dein SQL Statement wie du das hier gemacht hast:

VALUES 
        ('',$beverage,$company,$brand,$country,'$_POST[Exchange]',$category,'$_POST[Quantum]')

$_POST[Exchange] - nimm das raus und ändere es ab in eine normale Variable, die du vorab prüfst
$_POST[Quantum] - das selbe

Empty oder isset?
Du verwendest empty um zu prüfen ob ein übergebener Parameter leer ist.
Wenn du aber eine "0" erwartest ist das bei empty FALSE.
Du solltest dir angewöhnen isset zu benutzen, da dort nur geprüft wird ob der übergebene Parameter einen Inhalt hat.
"0" als Eingabe wird also bei isset akzeptiert, bei empty nicht.

Die Anführungsstriche kannst du alle weglassen:

if (isset($_POST[Beverage]))    {$beverage     = NULL;}     else {$beverage    = $_POST[Beverage];}

direkt danach kommt die Prüfung!


Siehe auch das PHP-Manual dazu.

 

[stvn]

Vielen Dank für deinen Post! Das werde ich mir zu Gemüte führen. :)

Wirklich vielen Dank, ich bin für jede/n Ratschlag dankbar!

 

[Asterixus]

"Die Anführungsstriche kannst du alle weglassen:" Wie bitte?

$beverage = isset($_POST['Beverage']) && is_string($_POST['Beverage']) ? mysql_real_escape_string($_POST['Beverage']) : '';
$company = isset($_POST['Company']) && is_string($_POST['Company']) ? mysql_real_escape_string($_POST['Company']) : '';
$brand = isset($_POST['Brand']) && is_string($_POST['Brand']) ? mysql_real_escape_string($_POST['Brand']) : '';
$country = isset($_POST['Country']) && is_string($_POST['Country']) ? mysql_real_escape_string($_POST['Country']) : '';
$category  = isset($_POST['Category']) && is_string($_POST['Category']) ? mysql_real_escape_string($_POST['Category']) : '';
$exchange  = isset($_POST['Exchange']) && is_string($_POST['Exchange']) ? mysql_real_escape_string($_POST['Exchange']) : '';
$quantum  = isset($_POST['Quantum']) && is_string($_POST['Quantum']) ? mysql_real_escape_string($_POST['Quantum']) : '';



$sql = "
    INSERT INTO entries
        (ID,Beverage,Company,Brand,Country,Exchange,Category,Quantum)
    VALUES
        (null,'".$beverage."','".$company."','".$brand."','".$country."','".$exchange."','".$category."','".$quantum."')
";

mysql_query($sql) OR die(mysql_error());