0

Вроде запрос верный, но не хочет работать. Если убрать строчку WHERE, то отображает все записи, но мне необходимо это условие.

$login = test;
$sql_category = "SELECT
 item_main.id_item,
 item_main.item_user,
 item_category.category_name,
 item_main.item_cost,
 item_main.item_title,
 item_main.item_notice,
 item_main.item_text_small,
 item_main.item_text_full
FROM item_main
 INNER JOIN item_category
    ON item_main.id_category = item_category.id_category
WHERE item_main.item_user = $login";
$query_category = mysqli_query($connect_db, $sql_category);

таблица item_main, записи с test конечно есть, $query_category прописана верно, проблема во where

id_item item_user id_category item_cost item_title item_text_small item_text_full item_notice
3
  • 2
    1. SQL инъекция 2. SQL инъекция 3. SQL инъекция 4. Строки при подстановке должны браться в кавычки, иначе они будут интерпретироваться как названия полей, так что '$login' 5. И не забудьте провести аудит безопасности со стороны иъекций
    – etki
    22 июл 2014 в 1:24
  • @Etki Само по себе это никакя не инъекция, вы ведь ничего не знаете про переменную #login, откуда она взялась, и фильтровалась ли.
    – Snow
    22 июл 2014 в 1:30
  • В том то и дело ) 22 июл 2014 в 2:14

2 ответа 2

1

Во первых $login в кавычки оберните, это же строка.

Во вторых строки сравниваются оператором LIKE

В третьих, $login надо фильтровать, но как я мог подумать что он у вас не отфильтрован.

Короче лучше юзать PDO и тамошний конструктор запросов, в котором обо всем уже подумали

3
  • Спасибо, верно 22 июл 2014 в 1:31
  • в mysqli тоже bind есть.
    – zb'
    22 июл 2014 в 3:49
  • 2
    @donkey, > строки сравниваются оператором LIKE Серьёзно, так что ли надо было? WHERE item_main.item_user LIKE '$login'
    – user6550
    22 июл 2014 в 7:19
0

Воткну свои три копейки, как будет лучше:

if ($result = $db->prepare("SELECT что то from `users` WHERE `login`=:lo")) // тут, думаю, всё понятно 

{ 

$lo = $login; // присваиваем переменной $lo значение логина 

$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); // на всякий случай - выведет эрроры 

$result->bindParam(":ni",$ni,PDO::PARAM_STR);// благодаря этой строчке мы обрабатываем переменную $lo что защищает нас от SQL INJ, приводим данные к строке 

$result->execute(); // выполняем запрос к базу 

$res = $result->fetch(PDO::FETCH_ASSOC); // результат преобразуем в ассоциативный массив 

} 

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.