Неопределенное уведомление об индексе

Question

Я провел дни, пытаясь понять это безрезультатно. Я проверил документы PHP, а также несколько других вопросов формы относительно уведомления об неопределенном индексе и, как представляется, обычное решение «isset()».

Но я не могу решить решение в моем случае.

Вот код:

<form action="" method="post"> 
<!-- Here are all the form fields --> 
<input type="submit" name="send" value="send"/> 
</form> 

<?php 

      $con = mysql_connect("#","#","#"); 
      if (!$con) 
      { 
       die('Could not connect: ' . mysql_error()); 
      } 

      mysql_select_db("#", $con); 

      $sql=" 
      INSERT INTO events (e_date, e_time, e_type, e_name) 
      VALUES ('$_POST[form_e_date]','$_POST[form_e_time]','$_POST[form_e_type]','$_POST[form_e_name]')"; 

      if (!mysql_query($sql,$con)) 
      { 
       die('Error: ' . mysql_error()); 
      } 
      echo "1 record added"; 

      mysql_close($con) 

     ?> 

В 4 уведомления происходят на линии с переменной $ SQL, начиная с «ЦЕННОСТИ» и относятся к form_e_date и т.д.

Я извиняюсь за Задавая вопрос, который, как я понимаю, приобретает несколько часто, но я пробовал решения других людей, которые либо не работают для меня, либо я не реализую их правильно.

Пожалуйста, помогите, пожалуйста, оставляйте любые другие конструктивные отзывы о моем коде, поскольку я новичок.

Спасибо!

Answer 1

вместо

'$_POST[form_e_date]','$_POST[form_e_time]','$_POST[form_e_type]','$_POST[form_e_name]' 

вы не должны использовать

'$_POST["form_e_date"]','$_POST["form_e_time"]','$_POST["form_e_type"]','$_POST["form_e_name"]' 

из-за опасности атак SQL-инъекции.

вы должны использовать mysql_real_escape_string, чтобы защитить себя от этого.

это было бы гораздо безопаснее:

if (array_key_exists("form_e_date", $_POST)) 
    $form_e_date = mysql_real_escape_string($_POST["form_e_date"]); 
else 
    $form_e_date = null; 

if (array_key_exists("form_e_time", $_POST)) 
    $form_e_time = mysql_real_escape_string($_POST["form_e_time"]); 
else 
    $form_e_time = null; 

if (array_key_exists("form_e_type", $_POST)) 
    $form_e_type = mysql_real_escape_string($_POST["form_e_type"]); 
else 
    $form_e_type = null; 

if (array_key_exists("form_e_name", $_POST)) 
    $form_e_name = mysql_real_escape_string($_POST["form_e_name"]); 
else 
    $form_e_name = null; 
. 
. 
. 
$sql = "INSERT INTO events (e_date, e_time, e_type, e_name) " . 
    "VALUES ('{$form_e_date}','{$form_e_time}','{$form_e_type}','{$form_e_name}')";