-1

Бойцы, вообщем пытаюсь изменить бд, через условную админ панель, сделал кнопки и тд. Кнопка удаления к слову пашет прекрасно, а вот редактирование после нажатия кнопки подтверждения - He могу выполнить запрос UPDATE users SET user_fullname="Петраов П.П.", user_distance="Шиханны-Вольск", WHERE user_id=53. Не подскажите, в чем может быть проблема? Собственно сам код. Edit.php

    <?php
    $link=mysqli_connect("localhost","root","","usersdb");

    if($_GET['id_row']){

    $id_row=$_GET['id_row'];

    // echo "запись номер {$id_row}";

    $id_sql=$id_row;

    $str_sql_query = "SELECT * FROM users where user_id=".$id_sql;
    // выполнение запроса

    if (!$result = mysqli_query($link, $str_sql_query))
    {
      echo "<br>He могу выполнить запрос<br>";
      exit();
    }

    $query = mysqli_query($link, $str_sql_query);
    $data = mysqli_fetch_assoc($query);}
    ?>

<form id="login" <? if ($_GET['id_row']) {
                        echo 'action = "update.php" method="GET" ';
                        }
                        ?>
                 >
                 <?
                 if ($message !=null){
                 echo "<div><b>$message</b></div>";
                 }
                 ?>
    <h1>Изменение данных</h1>
    <fieldset id="inputs">
         <input type="hidden"  name="user_id"   value='<? echo $data['user_id'] ?>' required/> 
         <b>Ф.И.О.</b>
         <input type="text"  name="user_fullname"  id="username"  value='<? echo $data['user_fullname'] ?>' required/>
         <b>Участок</b>   
         <input type="text"  name="user_distance"  value='<? echo $data['user_distance'] ?>' required/>
    </fieldset>
    <fieldset id="actions">
        <input name="submit" type="submit" id="submit" value="Изменить">
        <a href="../admin.php">Назад</a>
    </fieldset>
</form>
update.php

<?php
$link=mysqli_connect("localhost", "root", "", "usersdb");

  $str_sql_query = 'UPDATE users SET 
    user_fullname="'.$_GET['user_fullname'].'", 
    user_distance="'.$_GET['user_distance'].'", 
  WHERE user_id='.$_GET['user_id'];

// выполнение запроса

if (!$result = mysqli_query($link, $str_sql_query))
{
  echo "<br>He могу выполнить запрос<br>";
  echo "$str_sql_query";
  exit();
} else {
    echo "Запрос выполнен успешно";
    echo '<meta http-equiv="refresh" content="0;URL=admin.php">';
}
?>

1

1 ответ 1

0

Ошибка была найдена

  $str_sql_query = 'UPDATE users SET 
    user_fullname="'.$_GET['user_fullname'].'", 
    user_distance="'.$_GET['user_distance'].'"
  WHERE user_id='.$_GET['user_id'];
4
  • Ваш код уязвим для SQL инъекций. Прежде чем подставлять полученные значения в запрос, имеет смысл их экранировать с помощью mysql_real_escape_string(). 13 июн 2019 в 2:09
  • 1
    Автор вопроса, во-первых, использует mysqli (c i в конце) и потому советовать ему mysql_ несколько бессмысленно. А во-вторых - экранирование _real_escape никак не решает проблем с инъекциями.
    – u_mulder
    13 июн 2019 в 7:20
  • Использование PDO с умом - лучшая защита... Ну а _real_escape решает частные случаи, и в данном примере подошло бы это решение, если бы не i в конце
    – InDevX
    13 июн 2019 в 7:41
  • Спасибо за напутствия, я пока только "балуюсь" в программном коде, поэтому не задавался столь глубокими вопросами ) 13 июн 2019 в 10:13

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.