PHP GET variable auf Inhalt prüfen

Hallo an alle da DRAUSEN ^^

PHP Variable $_GET[''] macht mich verrückt!

Kurze Info zu meinen Server:

OS : Linux 11.3
Module: apache2 mit PHP Modulen / MySQL-Datenbank
Nutzung: Webserver

Mein Problem:

Ich lasse eine Variable übergeben an ein php Dokument wo die Übergabe abgefangen wird mit $_GET[" "]
sieht wie folgt aus:

Document "musik.php"

$abf = mysql_query("SELECT * FROM musik");  

while ($a = mysql_fetch_row($abf)) {
echo"	  
		<tr>
		<td><li><a id='mures' href='musik_show.php?gen=$a[4]'>$a[4]</a></li></td>  
		<td><li><a id='mures' href='musik_show.php?int=$a[1]'>$a[1]</a></li></td>  
		</tr>
		";  
};

Also Übergabe von Wert "gen" und "int" wird von Dokument "musik_show.php" abgefangen mit $_GET['gen'] und $_GET['int']
Dokument "musik_show.php" sieht wie folgt aus:

$ggen = $_GET['gen'];  
$gint = $_GET['int'];  


$abfg = mysql_query("SELECT * FROM musik WHERE interpret LIKE $gint");  
$abfi = mysql_query("SELECT * FROM musik WHERE genre LIKE $ggen");  

echo "<table><tr>";  
if (!isset($_GET["gen"])) {  
 while($a = mysql_fetch_row($abfi)) {
	echo "<td>$a[1]</td>";  
	}
	else {
		while ($b = mysql_fetch_row($abfg)) {
			echo "<td>$b[4]<td>";  
			}
		}
	}


echo "</tr></table>";  

Hier das Problem:

Irgendwo ist ein Fehler drin und weis nicht wo bzw wieso.
Möchte Prüfen lassen ob die $_GET['gen'] Variable leer ist aber funktioniert nicht.

Bräuchte wirklich eure Hilfe hab schon rauf und runter gebingt aber irgendwie find ich dazu weder ne lösung noch versteh ich des eigentliche Problem.

Vielen Dank für eure Hilfe.

nobodyisperfect

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Kommentar vom Moderator masterG am 01.08.2011 um 13:21:52 Uhr

Formartierungshilfe beachten

Content-ID: 170119

Url: https://administrator.de/forum/php-get-variable-auf-inhalt-pruefen-170119.html

Ausgedruckt am: 23.12.2024 um 05:12 Uhr

6 Kommentare

Neuester Kommentar

Übergabe von Wert "gen" und "int"
abgefangen mit $_GET['gen'] und $_GET['int']

.. nein es ist $_GET['gen'] ODER $_GET['int']

Prüfen kannst du ob ein Schlüssel in einem Array ist z.B.mit

if ( isset( $_GET['gen'] ) ) {  
// ...
}

.. das ist also nicht das Problem. Ich sehe eher das Problem in den SQL Abfragen, wenn ein Parameter leer ist. Ebenso erscheint mir deine Variablennamen sind etwas durcheinander.

Nebenbei: überlege mal mit etwas Fantasie was in der musik_show.php mit der SQL Abfrage passiert wenn jemand die URL manipuliert.

Hi Danke für die schnelle Antwort!

Hab schon zuvor mit "isset" versucht mit "empty" geht aber einfach net werd net schlau draus.

Hier mal beide Dateien komplett:

musik.php

<?php

echo"
<!DOCTYPE HTML PUBLIC '-W3CDTD HTML 4.01 TransitionalEN' 'http://www.w3.org/TR/html4/loose.dtd'>
<html>
<head>
<title>Musik</title>
<link rel=stylesheet type=text/css href=global.css>
<link rel=stylesheet type=text/css href=nav.css>
<script type=text/javascript src=nav.js></script>
</head>
<body>
";

include 'head.html';
include 'nav.html';
include 'musik.html';

echo "
<table id='musik'>
<tr>
<td>Genre</td>
<td>Interpret</td>
</tr>
";

include 'logindb.php';

mysql_select_db("elysionpw");

$abf = mysql_query("SELECT * FROM musik");

while ($a = mysql_fetch_row($abf)) {
echo"
<tr>
<td><li><a id='mures' href='musik_show.php?gen=$a[4]&int=$a[1]'>$a[4]</a></li></td>
<td><li><a id='mures' href='musik_show.php?int=$a[1]&gen=$a[4]'>$a[1]</a></li></td>
</tr>
";
};

echo"

</table>
";

echo"
</body>
</html>
";

?>

musik_show.php
<?php
$ggen = $_GET['gen'];
$gint = $_GET['int'];

echo"
<!DOCTYPE HTML PUBLIC '-W3CDTD HTML 4.01 TransitionalEN' 'http://www.w3.org/TR/html4/loose.dtd'>
<html>
<head>
<title>Musik</title>
<link rel=stylesheet type=text/css href=global.css>
<link rel=stylesheet type=text/css href=nav.css>
<script type=text/javascript src=nav.js></script>
</head>
<body>
";

include 'head.html';
include 'nav.html';

echo "
<table id='musik'>
<tr>
<td>$ggen $gint</td>
</tr>
</table>
<br>
<br>
";

include 'logindb.php';

mysql_select_db("elysionpw");

$abfg = mysql_query("SELECT * FROM musik WHERE interpret LIKE $gint");
$abfi = mysql_query("SELECT * FROM musik WHERE genre LIKE $ggen");

echo "<table><tr>";

if ( isset( $_GET['gen'] ) ) {
while($a = mysql_fetch_row($abfi)) {
echo "<td>$a[1]</td>";
}
else {
while ($b = mysql_fetch_row($abfg)) {
echo "<td>$b[4]<td>";
}
}
}

echo "</tr></table>";

echo"
</body>
</html>
";

?>

Werd zum Hirsch......

Nebenbei: überlege mal mit etwas Fantasie was in der musik_show.php mit der SQL Abfrage passiert wenn jemand die URL >manipuliert.

ist nur für private zwecke aber an und für sich hast schon recht

Hör auf Blind zu programmieren und schalt die Fehleranzeige ein:

<?php 
  error_reporting(E_ALL|E_STRICT); 
  ini_set('display_errors','On');   
?>

Dann siehst du auch, was du da alles falsch machst.

Moin,

auch wenn's jetzt nichts mit der eigentlichen Frage zu tun hat, aber solchem Code

$ggen = $_GET['gen'];  
[...]
$abfi = mysql_query("SELECT * FROM musik WHERE genre LIKE $ggen");  

Kräuseln sich mir die Fußnägel.

Frage: was passiert, wenn $_GET['gen'] den Wert "1; DROP TABLE MUSIC; --" hat?

Bitte, bitte benutze diese Funktion: http://php.net/manual/de/function.mysql-real-escape-string.php

Nähers dazu: http://de.wikipedia.org/wiki/SQL-Injection

lg,
Slainte

Hi,

1. Nimm dir die Kommentare zur Sicherheit bitte zu Herzen! Besser ist immer:

 
$ggen = mysql_real_escape_string($_GET['gen']);  
$gint = mysql_real_escape_string($_GET['int']);  

Das muss dir in Fleisch und Blut übergehen ;)

2. Hinter dem LIKE in deiner Query wird ein String erwartet, aber (aus Sicht von MySQL) ein Spaltenname übergeben.
So dürfte es funktionieren:

 
$abfg = mysql_query("SELECT * FROM musik WHERE interpret LIKE '%$gint%'");  
$abfi = mysql_query("SELECT * FROM musik WHERE genre LIKE '%$ggen%'");  

Gruß,
blackwinged