Ampersand and hash crash my MYSQL Query

Question

Я использую этот код для получения данных из запроса mysql.

if ($filter == "All" && $filter != "") {date_default_timezone_set('America/Denver'); 
$todays123 = date("Y-m-d H:i"); 
$query = "SELECT * FROM events WHERE events.name LIKE '%".$search."%' AND events.user = '".$_SESSION['username']."' AND events.end > '".$todays123."'"; 
}else{ $todays123 = date("Y-m-d H:i"); 
$query = "SELECT * FROM events WHERE events.name LIKE '%".$search."%' AND events.price = '".$filter."' AND events.user = '".$_SESSION['username']."' AND events.end > '".$todays123."' OR events.description LIKE '%".$search."%' AND events.price = '".$filter."' AND events.user = '".$_SESSION['username']."' AND events.end > '".$todays123."' OR events.user = '".$_SESSION['username']."' AND events.address LIKE '%".$search."%' AND events.price = '".$filter."' AND events.end > '".$todays123."' "; 
} 

Вот мой код Javascript

function user_display() { 

var search = document.getElementById("search").value; 

if (search == "" || search == null) { 
    search=""; 
} 

var filter = document.getElementById("filter").value; 

if (window.XMLHttpRequest) {// code for IE7+, Firefox, Chrome, Opera, Safari 
    xmlhttp=new XMLHttpRequest(); 
} else {// code for IE6, IE5 
    xmlhttp=new ActiveXObject("Microsoft.XMLHTTP"); 
} 

xmlhttp.onreadystatechange=function() { 
    if (xmlhttp.readyState==4 && xmlhttp.status==200) { 
     document.getElementById("table-content").innerHTML=xmlhttp.responseText;    
    } 
} 
    xmlhttp.open("GET","./xxx.php?action=display&search="+search+"&filter="+filter, true); 
xmlhttp.send(); 

}

Это соответствует правильно, когда значение поиска не содержит "&" и "#". Когда я ввожу символ амперсанда или хэша, запрос падает и ничего не отображает.

Любые предложения о том, почему это делается? Заранее спасибо

Answer 1

Возможно, вы используете encodeURIComponent() в своем JavaScript. Вероятно, вы не получаете результатов, потому что они не пропускают ничего в переменной поиска (или сокращают ее). Рассмотрим, если поиск «a & foo = c &». URL вы запрашиваете теперь xxx.php?action=display&search=a&foo=c&filter=..., так что вы в конечном итоге с другой переменной GET по имени foo

var search = encodeURIComponent(document.getElementById("search").value); 

Сделайте то же самое для filter, если это то, что пользователь будет поставлять.

Answer 2

изменить код, чтобы по крайней мере выглядеть следующим образом

$search = mysql_real_escape_string($search); 
$filter = mysql_real_escape_string($filter); 
// hopefully username in $_SESSION is clean else repeat above for that and rerun your query 
if ($filter == "All" && $filter != "") {date_default_timezone_set('America/Denver'); 
$todays123 = date("Y-m-d H:i"); 
$query = "SELECT * FROM events WHERE events.name LIKE '%".$search."%' AND events.user = '".$_SESSION['username']."' AND events.end > '".$todays123."'"; 
}else{ $todays123 = date("Y-m-d H:i"); 
$query = "SELECT * FROM events WHERE events.name LIKE '%".$search."%' AND events.price = '".$filter."' AND events.user = '".$_SESSION['username']."' AND events.end > '".$todays123."' OR events.description LIKE '%".$search."%' AND events.price = '".$filter."' AND events.user = '".$_SESSION['username']."' AND events.end > '".$todays123."' OR events.user = '".$_SESSION['username']."' AND events.address LIKE '%".$search."%' AND events.price = '".$filter."' AND events.end > '".$todays123."' "; 
    } 

Вышеприведенных изменения будет по крайней мере убедиться, что SQL инъекцию можно избежать.