-4

так работает:

$userReg = "INSERT INTOuser(mail) VALUES ('test')";

а так нет:

$userReg = "INSERT INTOuser(mail) VALUES ('$_POST['label']')";

3
  • ибо, надо: $userReg = "INSERT INTOuser(mail) VALUES ('.$_POST['label'].')"; 15 авг 2017 в 13:47
  • Не надо. Сырой $_POST[]? Сначала экранировать хотя бы. 15 авг 2017 в 14:42
  • Матерь драконов!!1 Вы это серьёзно? В ответе должно быть ровно три буквы - PDO.
    – Lexx918
    15 авг 2017 в 16:12

4 ответа 4

5

Может так

$userReg = "INSERT INTO user(mail) VALUES ('{$_POST['label']}')";

и этот код открыт для SQL инъекций. Лучше всего использовать подготовленные запросы. Сейчас, если в $_POST['label'] будет строка с одинарной кавычкой, то sql запрос будет невалидным.

3

Никаких POST'ов в запросе! Даже в 90-е годы это было адским злом, а уж в 2017-ом тем более.

Если всё же сильно хочется воткнуть POST прямо в строку запроса, то значение надо экранировать, иначе получится уязвимость SQL-inj:

$userReg = "INSERT INTO user SET mail = '".addslashes($_POST['label'])."'";

Если к базе уже есть коннект, то корректнее экранировать так:

$userReg = "INSERT INTO user SET mail = '".mysql_real_escape_string($_POST['label'])."'";

Оба варианта - плохие. Лучше не рассматривать их вообще и сразу шагнуть в 21й век в объятия PDO:

$dbh = new PDO($dsn, $user, $password);
$sth = $dbh->prepare('INSERT INTO user SET mail = :mail');
$sth->execute([':mail' => $_POST['label']]);

И всё! Вы в безопасности!

Пример подключения к базе, подготовка и выполнение запроса.

1
  • Обожаю ответчиков, которые не могут сами определиться, что отвечать. Если какой-то вариант не рекомендуется, то зачем про него вообще писать 24 авг 2017 в 8:27
0

Есть интересная особенность, вы не можете вставить в значение string ячейку массива без использования операторов. PHP сконвертирует только "чистую" переменную ($variable). $array['key'] не будет принято интерпретатором. Вообще, в любом случае подобная реализация некорректна из-за 2 причин. Как сказали выше это небезопасно. И второй момент, читаемость хромает в таком случае. Лучше все оформлять одним стилем, а именно

$var = "text " . $var2 . " text";
1
  • Почему не можете? Очень даже можем "foo {$ar['key']} bar".
    – Lexx918
    15 авг 2017 в 16:40
-2
if (!empty($_POST)) {
$lable1 = isset($_POST['label']) ? strip_tags(trim($_POST['label'])) : '';

$lable1=(string)$lable1;

} Уточнить что только сторока будет в этой переменной.`

далее минимально подготавливаем запрос.

$host='localhost';
$user='ivan';
$password='сам придумай';
$database='твоя база';
$port='80';
$link=mysqli_connect($host,$user,$password,$database,$port);
$userReg=mysqli_real_escape_string($link, $userReg);
$query="INSERT INTO user (mail) VALUE (".$test.")";
$result=mysqli_query($link,$query);
mysqli_close($link);
4
  • 1
    Лопни мои глаза! Почему порт 80? И почему он строковый литерал?
    – Lexx918
    15 авг 2017 в 16:39
  • И почему удаляются пробелы и тэги strip_tags(trim(? Я хоту лейбл с пробелами и тэгами.
    – Lexx918
    15 авг 2017 в 16:43
  • Зачем тернарный оператор и эта проверка isset(, если выше уже всё и так проверяется if (!empty(?
    – Lexx918
    15 авг 2017 в 16:43
  • затем что бы нотайсы не выбегали и не лопали твои глаза)
    – dpi
    15 авг 2017 в 17:20

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.