0

в общем не могу понять в чем дело, функция работает с другими данными,отключается после добавления данных об access и status:

Вот изначальный код:

if ($_POST) {
        $data = $_POST;
        $data['password'] = md5($_POST['password']);
        $data['acсess'] = 'user';
        $data['status'] = 'activ';
        print_r($data);
        if (DBselect('*', 'users', 'email', $data['email'],false) or  DBselect('*', 'users', 'tel', $data['tel'],false)) {
            echo 'Не знаю от куда Вы его взяли, но такой клиент уже есть в базе, другой раз повезет';
        }
        else {
            DBinsert('users',$data);
        }
    }

Вот сама функция добавления:

function DBinsert($_table, array $_data_insert): bool
    {
        global $pdo;
        //$_data
        $_data_key = array_keys($_data_insert); //из массива достает все ключи
        $_data_key_str = implode(',', $_data_key);
        $_data_value_str = ':' . implode(',:', $_data_key);
        $data = $_data_insert;
        //print_r($data);
        //echo "INSERT INTO {$_table} ({$_data_key_str}) VALUES ({$_data_value_str})";
        $sql = $pdo->prepare("INSERT INTO {$_table} ({$_data_key_str}) VALUES ({$_data_value_str})");
        //print_r($data);
        if (!$sql) {
            echo "\nPDO::errorInfo():\n";
            print_r($pdo->errorInfo());
        }
        echo "INSERT INTO {$_table} ({$_data_key_str}) VALUES ({$_data_value_str})";
        $sql->execute($data);
        echo 'Запись добавлена, давай следующую =)';
        return true;
    }

Обычно при выводе через echo данных понятно в чем проблема (обычно запятая), но тут что то все вроде проверил, или глаз уже замылился или что то делаю не правильно, просвятите плизз.

Вывод print_r ($data):

Array ( [name] => Гриша [tel] => +8555555555 [region] => Казань [email] => [email protected] [password] => a9d89a1b2e6845b7e2a7d6fc37ce5f11 [koment] => ghje\ [partner_id] => 0 [acсess] => user [status] => activ )

Вывод echo "INSERT INTO {$_table} ({$_data_key_str}) VALUES ({$_data_value_str})":

INSERT INTO users (name,tel,region,email,password,koment,partner_id,acсess,status) VALUES (:name,:tel,:region,:email,:password,:koment,:partner_id,:acсess,:status)

Полное описание ошибки:

Fatal error: Uncaught PDOException: SQLSTATE[HY093]: Invalid parameter number: parameter was not defined in D:\Project\zzz.lk.ru\lk\include\db.php:146 Stack trace: #0 D:\Project\zzz.lk.ru\lk\include\db.php(146): PDOStatement->execute(Array) #1 D:\Project\zzz.lk.ru\lk\modul\addclient.php(56): DBinsert('users', Array) #2 D:\Project\zzz.lk.ru\lk\home.php(65): include('D:\Project\zzz....') #3 {main} thrown in D:\Project\zzz.lk.ru\lk\include\db.php on line 146

0

1 ответ 1

0

Одна из причин такой ошибки - недопустимые символы в имени плейсхолдера. Например русская буква вместо англиийской. Чтобы проверить, надо скопировать имя плейсхолдера и вывести через urlencode:

 echo urlencode("acсess status");

и сразу будет видно где не латинские буквы.

Но главная проблема этого кода конечно не в банальной опечатке, а в том что он, как это часто бывает с подобными функциями, открыт нараспашку для всех SQL инъекций, поскольку напрямую вставляет содержимое РНР переменных в SQL запрос. Что делать категорически не рекомендуется, если только это содержимое не прописано явно в РНР.

Такое стремление "автоматизировать" составление запросов практически всегда приводит к инъекциям. Это тот случай, когда не надо лениться, а надо явно прописать все имена полей, которые доступны для изменения. И проще всего это сделать без всякой функции, а просто написав запрос руками. Это совсем не так трудно, как кажется, осоебно если использовать позиционные плейсхолдеры, а не именованные - с которыми писанины, действительно, получается выше крыши.

Но если так прям совсем невмоготу писать вручную, то хотя бы проверить, что в ключах массива у нас действительно нужные имена полей, а не трехэтажная SQL инъекция:

function DBinsert($pdo, $table, array $data, array $allowed)
{
    $keys = array_keys($data);
    if (array_diff($keys, $allowed)) {
        throw new ErrorException('Incorrect field name');
    }
    $keys_str = '`'.implode('`,`', $keys).'`';
    $values_str = str_repeat('?,', count($keys) - 1) . '?';
    $sql = $pdo->prepare("INSERT INTO `$table` ($keys_str) VALUES ($values_str)");
    $sql->execute(array_values($data));
}

Соответственно, перед исползованием прописать все имена полей в массив и передать в функцию

    $data = $_POST;
    $data['password'] = password_hash($_POST['password'],PASSWORD_DEFAULT);
    $data['acсess'] = 'user';
    $data['status'] = 'activ';
    $allowed = ['name', 'password','email', 'access', 'status'];
    DBinsert($pdo, 'users', $data, $allowed);

как видно, это совсем нетрудно, но зато можно быть спокойным за безопасность и такой код не стыдно выкладывать на всеобщее обозрение.

14
  • Спасибо, я воспользовался Вашим советом и добавил проверку в функцию добавления, что бы передаваемые ключи сверялись в ключами в массиве. Хотел уточнить (загуглил и не понял), throw new ErrorException - если найдет несоответствие прекратит выполнение кода на странице и выдаст ошибку? Не нужно ли помещать выполнение ИНСЕРТА в if - типа если ключи в массиве соответствуют переданным ключам, то выполни ИНСЕРТ, а если нет то выдай ошибку (просто в вашем коде есть проверка, но код по добавлению не в if? Сорри если мои вопросы глупы =) 12 мая 2020 в 6:06
  • Исключение прерывает выполнение кода, и соответственно в случае ошибки весь код ниже не будет выполнен. 12 мая 2020 в 6:09
  • Извините, еще 2 уточняющих вопроса (если вам не сложно): 01. Можно ли делать такую проверку на стороне подготовки запроса (во втором коде который вы привели в ответе).? 02. Не пойму логику, вот я сверил ключи, но основная опасность в данном случае это добавление пользователя нового например с правами access = > admin, данная функция этого не позволяет, так как по умолчанию ставит access=> user. Нужно ли делать проверку на недопустимые значения (П.С. эти функции добавить нового пользователя будут доступны только администрации сайта, так как регистрация не публичная). 12 мая 2020 в 6:17
  • 1. Можно, но нежелательно. Функция DBinsert() сейчас универсальная, может использоваться где угодно (как это и задумывалось, я полагаю). А если проверку вынести отдельно, то получится уже какой-то паровоз с прицепом, "вот у нас функция, но сам у по себе её нельзя использовать, вот ещё код". Зачем? В текущем виде функция занимается только SQL, и делает это хорошо, не пропуская инъекции. Так её и оставить. 2. В данном случае конкретное значение не имеет отношения к SQL, а относится к логике приложения. Поэтому правильно будет делать установку значения там где она сейчас - во втором блоке. 12 мая 2020 в 6:30
  • Но в общем конечно вместо фильтрации можно проискейпить идентификаторы, phpdelusions.net/pdo_examples/insert_helper 12 мая 2020 в 8:22

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.