[Z.....e]

Mireczki, jak powinienem poprawnie zrobić sql query w #php tak, żeby mogło zawierać zmienne? bo w obecnej postaci zapisuję do bazy $a $b $c a nie ich zawartość xD #programowanie #kiciochpyta

 $sql = 'INSERT INTO x667 (FirstName, LastName, Email) VALUES ("$a","$b","$c");';

[sokytsinolop]

@ZjemCiNoge: http://php.net/manual/pl/language.types.string.php#language.types.string.parsing

[Razi91]

@ZjemCiNoge: powinieneś zostawić tak trywialne sprawy ORMowi.

A swoją drogą, to zwykłe generowanie stringa, poczytaj jak się w tym języku tworzy stringi.

[mluca]

@ZjemCiNoge: $sql = "INSERT INTO x667 (FirstName, LastName, Email) VALUES ($a, $b, $c)";

[Z.....e]

@sokytsinolop: @Razi91: @mluca:
Jezu, w końcu działa, dzięki. Ale jedyne co zrobiłem to zamieniłem miejscami " z ' nie myślałem, że to będzie jakaś różnica.

 $sql = "INSERT INTO x667 (Firstname, LastName, Email) VALUES ('$a', '$b', '$c');";

[m.....t]

@ZjemCiNoge: To poczytaj, zeby na przyszlosc wiedziec czemu tak jest
http://php.net/manual/en/language.types.string.php

[kot_gagarina]

@ZjemCiNoge: Sprawdź co się stanie jeżeli zmienne $c będzie miała wartość:
$c = "'); DROP table x667; SELECT ('1"

[osobliwosc]

Jeśli przekazujesz zmienne do zapytania w taki sposób pamiętaj, aby je filtrować. W twoim przykładnie, jeśli Twoje zmienne $a, $b, $c są niefiltrowane, np. w taki sposób jak widać poniżej czynią Twój kod podatny na atak SQL Injection. Innymi słowy, jeśli którakolwiek z tych zmiennych może (albo będzie mogła w przyszłości) pochodzić od użytkownika (np. będzie brana z parametrów GET lub POST) atakujący dostanie pełny dostęp do Twojej bazy danych:

Powinienneś filtrować

[alex-fortune]

@ZjemCiNoge: Prepared statements