PHP GET variable auf Inhalt prüfen
Hallo an alle da DRAUSEN ^^
PHP Variable $_GET[''] macht mich verrückt!
Kurze Info zu meinen Server:
OS : Linux 11.3
Module: apache2 mit PHP Modulen / MySQL-Datenbank
Nutzung: Webserver
Mein Problem:
Ich lasse eine Variable übergeben an ein php Dokument wo die Übergabe abgefangen wird mit $_GET[" "]
sieht wie folgt aus:
Document "musik.php"
Also Übergabe von Wert "gen" und "int" wird von Dokument "musik_show.php" abgefangen mit $_GET['gen'] und $_GET['int']
Dokument "musik_show.php" sieht wie folgt aus:
Hier das Problem:
Irgendwo ist ein Fehler drin und weis nicht wo bzw wieso.
Möchte Prüfen lassen ob die $_GET['gen'] Variable leer ist aber funktioniert nicht.
Bräuchte wirklich eure Hilfe hab schon rauf und runter gebingt aber irgendwie find ich dazu weder ne lösung noch versteh ich des eigentliche Problem.
Vielen Dank für eure Hilfe.
nobodyisperfect
OS : Linux 11.3
Module: apache2 mit PHP Modulen / MySQL-Datenbank
Nutzung: Webserver
Mein Problem:
Ich lasse eine Variable übergeben an ein php Dokument wo die Übergabe abgefangen wird mit $_GET[" "]
sieht wie folgt aus:
Document "musik.php"
$abf = mysql_query("SELECT * FROM musik");
while ($a = mysql_fetch_row($abf)) {
echo"
<tr>
<td><li><a id='mures' href='musik_show.php?gen=$a[4]'>$a[4]</a></li></td>
<td><li><a id='mures' href='musik_show.php?int=$a[1]'>$a[1]</a></li></td>
</tr>
";
};
Also Übergabe von Wert "gen" und "int" wird von Dokument "musik_show.php" abgefangen mit $_GET['gen'] und $_GET['int']
Dokument "musik_show.php" sieht wie folgt aus:
$ggen = $_GET['gen'];
$gint = $_GET['int'];
$abfg = mysql_query("SELECT * FROM musik WHERE interpret LIKE $gint");
$abfi = mysql_query("SELECT * FROM musik WHERE genre LIKE $ggen");
echo "<table><tr>";
if (!isset($_GET["gen"])) {
while($a = mysql_fetch_row($abfi)) {
echo "<td>$a[1]</td>";
}
else {
while ($b = mysql_fetch_row($abfg)) {
echo "<td>$b[4]<td>";
}
}
}
echo "</tr></table>";
Hier das Problem:
Irgendwo ist ein Fehler drin und weis nicht wo bzw wieso.
Möchte Prüfen lassen ob die $_GET['gen'] Variable leer ist aber funktioniert nicht.
Bräuchte wirklich eure Hilfe hab schon rauf und runter gebingt aber irgendwie find ich dazu weder ne lösung noch versteh ich des eigentliche Problem.
Vielen Dank für eure Hilfe.
nobodyisperfect
Please also mark the comments that contributed to the solution of the article
Kommentar vom Moderator masterG am Aug 01, 2011 um 11:21:52 Uhr
Formartierungshilfe beachten
Content-Key: 170119
Url: https://administrator.de/contentid/170119
Printed on: April 18, 2024 at 01:04 o'clock
6 Comments
Latest comment
Übergabe von Wert "gen" und "int"
abgefangen mit $_GET['gen'] und $_GET['int']
.. nein es ist $_GET['gen'] ODER $_GET['int']abgefangen mit $_GET['gen'] und $_GET['int']
Prüfen kannst du ob ein Schlüssel in einem Array ist z.B.mit
if ( isset( $_GET['gen'] ) ) {
// ...
}
Nebenbei: überlege mal mit etwas Fantasie was in der musik_show.php mit der SQL Abfrage passiert wenn jemand die URL manipuliert.
Moin,
auch wenn's jetzt nichts mit der eigentlichen Frage zu tun hat, aber solchem Code
Kräuseln sich mir die Fußnägel.
Frage: was passiert, wenn $_GET['gen'] den Wert "1; DROP TABLE MUSIC; --" hat?
Bitte, bitte benutze diese Funktion: http://php.net/manual/de/function.mysql-real-escape-string.php
Nähers dazu: http://de.wikipedia.org/wiki/SQL-Injection
lg,
Slainte
auch wenn's jetzt nichts mit der eigentlichen Frage zu tun hat, aber solchem Code
$ggen = $_GET['gen'];
[...]
$abfi = mysql_query("SELECT * FROM musik WHERE genre LIKE $ggen");
Frage: was passiert, wenn $_GET['gen'] den Wert "1; DROP TABLE MUSIC; --" hat?
Bitte, bitte benutze diese Funktion: http://php.net/manual/de/function.mysql-real-escape-string.php
Nähers dazu: http://de.wikipedia.org/wiki/SQL-Injection
lg,
Slainte
Hi,
1. Nimm dir die Kommentare zur Sicherheit bitte zu Herzen! Besser ist immer:
Das muss dir in Fleisch und Blut übergehen ;)
2. Hinter dem LIKE in deiner Query wird ein String erwartet, aber (aus Sicht von MySQL) ein Spaltenname übergeben.
So dürfte es funktionieren:
Gruß,
blackwinged
1. Nimm dir die Kommentare zur Sicherheit bitte zu Herzen! Besser ist immer:
$ggen = mysql_real_escape_string($_GET['gen']);
$gint = mysql_real_escape_string($_GET['int']);
Das muss dir in Fleisch und Blut übergehen ;)
2. Hinter dem LIKE in deiner Query wird ein String erwartet, aber (aus Sicht von MySQL) ein Spaltenname übergeben.
So dürfte es funktionieren:
$abfg = mysql_query("SELECT * FROM musik WHERE interpret LIKE '%$gint%'");
$abfi = mysql_query("SELECT * FROM musik WHERE genre LIKE '%$ggen%'");
Gruß,
blackwinged