1

Есть ссылка <a href="page.php?del=test test">link</a>, в PHP ловлю ее из $_GET["del"] и пытаюсь по содержимому этой переменной удалить из базы поле с текстом test test но поле не удаляется! Из phpMyAdmin вручную этот запрос правильно отрабатывает вот я и пришел к выводу, что в $_GET["del"] хранится текст до первого пробела(естественно такого поля нет и запись не удаляется по этому). Как выйти из подобной ситуации?

Запрос к базе такой: "DELETE FROM services WHERE service=$_GET[del]"

11
  • я и пришел к выводу, что в $_GET["del"] хранится текст до первого пробела ну а что показывает консоль браузера, когда отправляется запрос? Или echo $_GET["del"] Зачем гадать, если можно посмотреть?) 7 авг 2016 в 14:44
  • У php есть консоль?
    – perfect
    7 авг 2016 в 14:46
  • 1
    Да... Но вы же на ссылку не из php нажимаете? 7 авг 2016 в 14:48
  • @perfect, да конечно php -a
    – cheops
    7 авг 2016 в 14:48
  • @АлексейШиманский после нажатия ссылки все окей в адресной строке page.php?del=test test получается
    – perfect
    7 авг 2016 в 15:01

2 ответа 2

5

Обычно текст с пробелами и другими недопустимыми в запросах символами кодируется, либо при помощи функции rawurlencode(), которая заменяет пробел на последовательность \%20, либо при помощи функции urlencode(), которая заменяет пробел на плюс. В этом случае можно корректно передать данные через GET-параметр.

$del = rawurlencode('test test');
echo '<a href="page.php?del='.$del.'">link</a>';

Современные браузеры и серверы обычно осуществляют декодирование самостоятельно. Однако, если вам нужно в силу причин декодировать данные самостоятельно, для каждой из указанных выше функций имеется обратная: rawurldecode() и rawdecode(), соответственно.

2
  • подсмотрев ваш код, подставил одинарные кавычки и все заработало. Было <a href="page.php?del=test test"> а стало <a href="page.php?del='test test'">. В чем причина такого поведения?
    – perfect
    7 авг 2016 в 14:57
  • Вероятно это уже от браузера зависит, у меня ваша ссылка в FireFox <a href="page.php?del=test test">link</a> нормально отработала, пробел был автоматически декодирован в %20, а вот так бы уже не сработало <a href=page.php?del=test test>link</a>, последний test рассматривался бы как атрибут тэга a. В любом случае не будет лишним явно кодировать пробел в %20, браузеры его декодируют, но строго говоря не обязаны это делать. Какой-нибудь мобильный браузер может вести себя по-другому.
    – cheops
    7 авг 2016 в 15:01
2

У вас проблема в другом - вы не правильно выполняете запрос на удаление... нужно так:

"DELETE FROM services WHERE service='$_GET[del]'"

Подготавливать сам запрос для вставки в параметр GET (в ссылку), конечно желательно... но если у вас там просто текст без спецсимволов, то не обязательно.

UPDATE

Обязательно перед вставкой переменной в запрос необходимо сделать подготовку этой переменной, например:

$_GET['del'] = addslashes(htmlspecialchars($_GET['del']));

Используйте PDO.

А вообще, удалять данные по "тексту с пробелами" - плохой стиль. Правильно будет - передавать ID удаляемой записи и удалять по ID.

13
  • 2
    Вот так точно запрос не надо выполнять!
    – Visman
    8 авг 2016 в 4:32
  • @Visman, почему? Есть разница от того где находятся экранирующие кавычки?
    – perfect
    8 авг 2016 в 7:22
  • @Visman да ладно? Вы же опытный пользователь этого портала и знаете, что это плохой стиль давать подобного рода бесполезные комментарии. Дайте человеку рекомендацию использовать пдо или делать самостоятельно предподготовку переменной до помещения в запрос. Или что-то еще, если есть чем дополнить... (или вообще скажите, что удалять нужно по ID, а не "тексту с пробелами")
    – Stanislav
    8 авг 2016 в 7:38
  • @Stanislav, я вам этот комментарий написал, как оценку вашего ответа. Автору вопроса же судя по ответам на комменты пофиг на безопасность.
    – Visman
    8 авг 2016 в 7:58
  • @Visman , вы не правы , я последовал вашему совету и уже знаю что такое sql-инъекции и как с ними бороться. почему бы не принять совет если человек от души пытается помочь. Ну насчет пофигизма так ситуации то разные бывают. В моем случае я полное право даю удалять все данные из таблицы для проверенного пользователя и нет смысла в дополнительной защите, потому как все эти операции доступны ему из его интерфейса. Но за совет большое спасибо теперь буду иметь ввиду эти знания.
    – perfect
    8 авг 2016 в 8:13

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.