0

アーティストがプロフィールを編集できるようにするスクリプトがあります。1つは問題であることが証明されています。ユーザーが入力した内容をサニタイズする方法がありません。'が入力されるたびに、phpが短くなるため、データは表示されません。

これが私のバイオフォームです：

username = $_SESSION['username'];
    $pass = $_SESSION['password']; 
   include ("../database.php");
   $result = mysql_query("SELECT * FROM members WHERE username='$username' AND     password='$pass' AND artist='Y'");

while($row = mysql_fetch_array($result)){

       echo '<div id="artistsbio"><form action="phpscripts/artistupdate.php" method="post">
       <textarea name="bio" rows="10" cols="80" name="bio" value="'. $row['bio']. '" class="bio">'. $row['bio']. '</textarea><br>
       <div id="probwarn"><t1>Everything is still in the beta stage so there are bound to be a few problems. If you spot one please <a href="mailto:artists@newbornsounds.co.uk"><b>tell us about it.</b></a></t1></div>

       </div>';

これがデータベースにアップロードするスクリプトです。

$username = $_SESSION['username']; 
    $pass = $_SESSION['password'];

     $artistname = $_POST['artistname'];
     $bio = $_POST['bio'];




include ("../database.php");
mysql_query("UPDATE members SET  bio='$bio', artistname ='$artistname'
WHERE username='$username' AND password='$pass'  AND artist='Y'");

$artisturl = mysql_query("SELECT * FROM members  
WHERE username='$username' AND password='$pass'  AND artist='Y'");

while($row = mysql_fetch_array($artisturl)){
if (isset($_POST['submit'])) {header("location:../artists/artist.php?    artist=".$row['artistname']."");}
}

}
else echo'<p1>You must be an artist to use these features.</p1>';

はい、mysqliにアップグレードする必要があることを認識しており、プリペアドステートメントを使用する必要があることを認識しています。ただし、最初にこれを整理する必要があります。

4

2 に答える 2

0

データベースに何かを入力する前に、次のように呼び出します。

mysql_real_escape_string($YOUR_POSSIBLY_QUOTED_STRING);
于 2012-06-07T01:03:51.090 に答える
0

SQLクエリでユーザー入力を使用する場合は、サニタイズする必要があります。これが簡単な例です。

$username = mysql_real_escape_string($_SESSION['username']); 
$pass = mysql_real_escape_string($_SESSION['password']);
$artistname = mysql_real_escape_string($_POST['artistname']);
$bio = mysql_real_escape_string($_POST['bio']);

include ("../database.php");
mysql_query("UPDATE members SET  bio='$bio', artistname ='$artistname'
WHERE username='$username' AND password='$pass'  AND artist='Y'");
于 2012-06-07T11:08:54.350 に答える