0

Всем привет.

У меня есть форма который в принципе должен добавить информацию через админку в БД.

Я только только использую PDO (да и саму PHP тоже) поэтому строго не ругать 99% кода не я писал.

В БД создал таблицу category и 3 свойства id (автоинкремент) name и image навяский пожарный скажу что сравнение там стоит latin1_swedish_ci в многих ресурсах используют utf8_general_ci но я думаю это не столь критично.

Форма такого типо

HTML

<form action="categories.php" method="POST" enctype="multipart/form-data">
     <fieldset>
         <label for="name">Name:</label>
         <input type="text"  name="name" id="name" placeholder="name">
            <label for="image">Image:</label>
            <input type="file" class="form-control" id="image" name="Image"/>

            <button type="submit" name="submit">Add Category</button>
     </fieldset>
</form> 

в DB.php у меня такой обьектно ориентированный PDO код

     Class Database {

         private $link;

         public function __construct() {
            $this->connect();
         }

         private function connect(){
            $config = require_once "config.php";//тут подключаем config.php

            $dsn = "mysql:host=".$config["host"].";dbname =".$config["db_name"].";"; //тут используем настройки написанные в config.php

            $this->link = new PDO($dsn, $config["username"], $config["password"]);

            return $this;
         }

         public function execute($sql){
            $sth = $this->link->prepare($sql);

            return $sth->execute();
         }
         public function query($sql){
            $sth = $this->link->prepare($sql);

            $sth->execute();

            $result = $sth->fetchAll(PDO::FETCH_ASSOC);

            if($result === false){
                return [];
            }
            return $result;
         }
     }

$db = new Database();

Также есть config.php для дополнении к DB.php

return [
    "host" => "localhost",
    "db_name" => "razmovar",
    "username" => "root",
    "password" => ""

];

И соответственно часть categories.php где я хочу добавить файлы полученные из формы в БД

 if(isset($_POST["submit"])){ //если кнопка submit нажата
        $name = $_POST["name"]; 


        $image = $_FILES["Image"]["name"];
        $admin = "Макс";

        if(empty($name)){ //если полья name пусто выдать ошибку сессии которые внизу потом перенаправитсья в эту страницу

            $_SESSION["ErrorMessage"] = "all fields must be field up";
            redirect_to("categories.php");

            exit;
        } else if(strlen($name) > 40){ //nесли имя категории содержит символов больше чем 40 вывести ошибку сессии и опять  перенаправитсья в эту страницу

            $_SESSION["ErrorMessage"] = "category name can't be more than 40 symbol's";
            redirect_to("categories.php");
            exit;

        } else {
            global $db; //вызываем глобально переменную $db
            $db->execute("INSERT INTO `category` (name,image) VALUES('{$name}','{$image}')"); //добавляем в таблицу category значение полученные из переменных name и image

                if($db){ //если добавлено то сообшения сессии что все успешно добавлено 
                    $_SESSION["SuccessMessage"] = "Category added succesfully";
                    redirect_to("categories.php");
                }   else {//иначе ошибка
                    $_SESSION["ErrorMessage"] = "Something went wrong";
                    redirect_to("categories.php");
                }
        }
    }

Но проблема в том что каждый раз он пишет что category added succesfully (категория удачно добавилось) то есть доходит то части где if($db) и тут выводитсья true но когда я смотрю в БД там пусто ничего не добавилось ПОЧЕМУ ТАК помогите уже три дня не могу решить ..

Испробовал все

вместо этого $db->execute("INSERT INTOcategory(name,image) VALUES('{$name}','{$image}')");

кода писать ТАК..

$db->execute("INSERT INTO `category` (name,image) VALUES('$name','$image')");

Или так

$db->execute("INSERT INTO category (name,image) VALUES('$name','$image')");

Разные эксперементы делал с этой строкой но ничего не помогло .

3 ответа 3

3

А где пишет-то? Вот это

category added succesfully

Это ж вроде в сессию пишется....

Как проверяете БД? Перезайти не пробовали в БД? Мож браузер просто тупит?

И вообще откуда код?? Переменные, мне кажется, не проходят проверку на иньекцию, сырой код-то!!!

Инсертить вот так надо:

$query = $db->prepare("INSERT INTO users(name, email, username, password) VALUES (:name,:email,:username,:password)");
            $query->bindParam("name", $name, PDO::PARAM_STR);
            $query->bindParam("email", $email, PDO::PARAM_STR);
            $query->bindParam("username", $username, PDO::PARAM_STR);
6
  • я имел ввиду вот эти проверки: $query->bindParam Commented 11 авг. 2018 в 19:32
  • @Demon__ANT ваш код действительно подвержен инъекциям, но вам нужно крутить скорей в сторону bindValue, а не bindParam. secure.php.net/manual/ru/pdostatement.bindvalue.php
    – Manitikyl
    Commented 11 авг. 2018 в 19:34
  • @Manitikyl а я думал в PDO от sql иньекции ты зашищен =( спс огромное еще раз
    – Randall
    Commented 11 авг. 2018 в 19:38
  • @Demon__ANT защищен, если использовать bindValue и bindParam
    – Manitikyl
    Commented 11 авг. 2018 в 19:53
  • @Manitikyl аа так вот оно как O.o
    – Randall
    Commented 11 авг. 2018 в 19:54
1

if($db){ - А в $db-то у вас класс.

Нужно так:

$db = $db->execute("INSERT INTO `category` (name,image) VALUES('{$name}','{$image}')");
if($db){ ... }

Или так:

if($db->execute("INSERT INTO `category` (name,image) VALUES('{$name}','{$image}')")) { ... }

Или так:

$sql = "INSERT INTO `category` (name,image) VALUES('{$name}','{$image}')";
if($db->execute($sql)) { ... }

Не добавляется из-за этой строки:

dsn = "mysql:host=".$config["host"].";dbname =".$config["db_name"].";"

Должно быть так:

dsn = "mysql:host=".$config["host"].";dbname=".$config["db_name"].";"

Никаких пробелов, ничего лишнего.

4
  • 1
    Не стоит делать без подготовки выражения, напрямую запрос в базу. Чревато последствиями.
    – And
    Commented 12 авг. 2018 в 6:22
  • Поддерживаю предыдущий комментарий - само существование ответов с использованием склеенных вручную SQL-запросов угрожает мировому сообществу. Commented 13 авг. 2018 в 5:00
  • @АлександрБелинский -.- Не знаю куда мой предыдущий коммент делся на эту тему, НО мы тут обычно помогаем решить проблему (вне зависимости на сколько она грамотна, правильна, логична и т.д.). Если вы заговорили об правильности, то конкретно в нашем случае мы пояснили уже автору про безопасность (в ответе ниже). А придираться можно вечно: с БД лучше работать через ORM, не использовать global, логику запросов вынести в модель и т.д. я вечно так могу.
    – Manitikyl
    Commented 13 авг. 2018 в 5:50
  • @АлександрБелинский Если вы принципиально считаете что нужно давать правильные (в глобальном плане) ответы. То я ни в коем случае Вам не запрещаю это делать и оставлять свою версию, даже если вопрос решен, более того, если ответ будет достаточно полон я оценю его за старания.
    – Manitikyl
    Commented 13 авг. 2018 в 5:51
1

Скажу свое мнение, что инженеры не дураки. По поводу того что на данном этапе городить классы которые будут выполнять работу с БД. Я не заморачиваюсь и пишу на процедурном. Не делаю никаких классов. Для этого есть RedBeanPhp. ЛУчше раз новичек как я, то я для начала изучаю как вообще с этим работать. Для инъекций я использую примерную запись.

$save = $con->prepare("INSERT INTO `name_table` (`id_column`, `name_column`) VALUES (NULL, ?)");
$save->execute(array($_POST['id_column'], $_POST['name_column']));

Далее нужно разобраться с кодировкой если работаете с UTF-8 то и таблицам нужно задавать utf8_general_ci. иначе будут крокозябры если не городить трехэтажный код. Попробуйте для начала создавать и закрывать соединение с бд, а потом уже это дело все запихивать в классы. Я не думаю что у вас проект размером с яндекс.

2
  • спасибо проект маленкий и я посмотрел один старый урок по php там и про PDO не было когда я выкладывал свой код мне сказали что это очень древний код php 5.3 и оно очень уязвимо к SQL иньекциям потом я с работу взял тестовый маленький проект и начал его писать но для того чтобы его не сломал какой то школник мимо проходящий я решил использовать PDO даже если у меня нету опыта и в youtube наткнулсья на урок где парень пишет используя классы и поддумал что это хорошое решение за одно и в php с ООП познакомлюсь вот как то так.
    – Randall
    Commented 12 авг. 2018 в 15:01
  • 1
    Да я тоже так пытался делать. Потом понял, что с этого не стоит знакомиться с ООП. Я как то записывал урок по RedBeanPhp связи многие ко многим но потом перешел на чистый PDO. люди улучшают а при возможности если надо и так ломанут. Поэтому сейчас нет смысла заморачиваться с безопастностью, лучше практику улучшать. Весь материал для изучения беру на пхп.нет там все описано и расписано довольно внятно и собственно разработчики пхп дают дельные советы. Commented 12 авг. 2018 в 19:10

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.