PHP Script, который вставляет переменные URL в mysql db?

Question

Я ищу простой и безопасный скрипт для вставки строк в таблицу mysql из сценария php.

по телефону http://www.myserver.com/addtosometable.php?1=asdf&2=asdf ....

Я не спрашиваю, как конкретно, а я думал, что это может быть хорошей платформой для построения пример сценария и держать его в курсе лучших практик ...

Приветствия

Answer 1

все URL переменные (GET переменные) помещаются в переменную PHP $_GET как массив.

Используя ваш пример выше myfile.php?1=asdf&2=asdf ваш сценарий будет иметь доступ к массиву, который выглядит следующим образом:

array(
    1 => "asdf" 
    2 => "asdf" 
) 

Если вы хотите увидеть это для себя, просто это в вашем файле:

print_r($_GET); 

Оттуда должна быть простая задача очистки переменных, чтобы избежать атак атаки, а затем создать инструкцию INSERT. Мне нужно будет узнать больше о вашей структуре таблиц и о том, что вам нужно специально для этого. См. Документацию по адресу mysql_real_escape_string.

Answer 2

Если вы используете MySQL 5, вы можете использовать подготовленные инструкции, чтобы избежать большинства форм SQL-инъекций.

 

$stmt = $db->prepare("INSERT INTO table (col1, col2) values (?, ?); 
// check for errors 
$result = $stmt->execute($_GET['1'], $_GET['2']); 
// check for errors 

Я считаю, что вам все равно придется беспокоиться о XSS (Cross-Site-Scripting) атак но это за пределами моего понимания.