0

Собираю атрибуты с элемента:

var attributes = elem_name.attributes;
text = ''
for (var key in attributes) {
  /* Выбираем именно html-атрибуты */
  if (attributes[key].nodeName) {
    text += attributes[key].nodeName + ':' + attributes[key].nodeValue + ','
  }
}

Пытаюсь отправить:

$.ajax({
  type: "GET",
  url: "index.php",
  data: text
}).done(function( data ) {
  //
});

При просмотре в консоле обнаруживается двоеточие в конце строки с отправляемыми атрибутами: сlass:elem,id:9,: Проблема не в запятой в конце, ее я пробовал удалять.

На сервере все стандартно:

$сlass= $_GET['сlass'];
$id= $_GET['id'];

$con = mysqli_connect('bla','bla','bla','bla');
$result = mysqli_query ($con,"INSERT INTO bla (class, id) VALUES ('$class','$id')");

При отправке данных в таблице появляется новая строка, но без значений

2
  • в одинарных кавычках не совсем правильно VALUES ('$class','$id')" и вообще лучше бы конкатекацией значения переменных вставлять. 21 апр 2017 в 18:14
  • 1
    "INSERT INTO bla (class, id) VALUES (" . $class . "," . $id . ")" но где тут безопасность? 21 апр 2017 в 18:16

1 ответ 1

3

Вы неправильно передаете параметры(query):

Стандарт

var1=val1&var2=val2&var3=val3

У вас

var1:val1,var2:val2,var3:val3,

https://en.wikipedia.org/wiki/Uniform_Resource_Identifier https://stackoverflow.com/questions/111529/how-to-create-query-parameters-in-javascript

for (var key in attributes) {
  /* Выбираем именно html-атрибуты */
  if (attributes[key].nodeName) {
    text += attributes[key].nodeName + ':' + attributes[key].nodeValue + ','
  }
}

Станет

var ret = [];
for (var key in attributes) {
  /* Выбираем именно html-атрибуты */
  if (attributes[key].nodeName) {
    ret.push(encodeURIComponent(attributes[key].nodeName) + '=' + encodeURIComponent(attributes[key].nodeValue));
  }
}

var text = ret.join('&');

ПС

jquery.ajax() для параметра data может принять обычный массив/объект и всё за вас отформатировать.

https://api.jquery.com/jQuery.ajax

$.ajax({
  type: "GET",
  url: "index.php",
  data: {"var1":"val1", "var2": "val2", "var4": "val4"}
}).done(function( data ) {
  //
});

ППС

У вас в коде SQLInjection

https://en.wikipedia.org/wiki/SQL_injection

https://phpdelusions.net/pdo

https://phpdelusions.net/pdo/sql_injection_example

2
  • Спасибо за ответ. Правильно ли я понял - sql инъекцию исключит этот код: (class, id) VALUES (" . $class . "," . $id . ")"?
    – Nik
    22 апр 2017 в 10:19
  • @Nik Да вы поняли правильно.
    – E_p
    24 апр 2017 в 15:09

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.