Archief - PHP: id uit database lezen lukt niet

D

Diabolical Dean

Legacy Member

• 26 apr 2005

• #1

simpel formulierke

PHP:

if(isset($_GET['submit']))
		{
			if($_GET['id'] == "")
			{
				print "Vul een id in";
			}
			else
			{				
				mysql_connect("localhost", "root");
				mysql_select_db("dm_db");
	
				$query = "SELECT * FROM mm3e WHERE ID = ".$_GET['id'];
				$result = mysql_query($query);
				

				if(mysql_num_rows($result) >= 1)
				{
					while($row= mysql_fetch_row($result))
					{
						echo $row['id']."<BR /> ".$row['Name']."<BR /> <BR />";

					}
				}
			}

Dus ik zie of ik men veldje heb, ik het in in mijn geval Ik ga naar men DB, ik doe een select en normaal moet ik dan de id en de naam krijgen maar ik krijg dit

Notice: Undefined index: id in c:\program files\easyphp1-8\www\monstermanual\index.php on line 30

Notice: Undefined index: Name in c:\program files\easyphp1-8\www\monstermanual\index.php on line 30

Klik om te vergroten...

Hij zegt dat hij men varbiablen niet kent maar ik haal ze toch uit men DB??

Bedankt voor het antwoord

D

DarkBone

Legacy Member

• 26 apr 2005

• #2

De manual wel goed gelezen?
http://be2.php.net/manual/en/function.mysql-fetch-row.php

Returns a numerical array that corresponds to the fetched row.

De foutmeldingen slaan dus op het gebruik van namen om de gegevens uit de array te halen, terwijl de array enkel numerieke indexes kent om de waarden op te halen.

Je hebt mysql_fetch_assoc() nodig.
Dan krijg je een associatieve array ipv een numerieke.

D

Diabolical Dean

Legacy Member

• 26 apr 2005

• #3

Damnzor, zo lang achter zitten zoeken. Anyway, het werkt, hartelijk bedankt DarkBone. Nu kan ik verder.

C

Coax

Legacy Member

• 26 apr 2005

• #4

En vergeet uw input ni te controleren voor ge het in ne query steekt.

D

Diabolical Dean

Legacy Member

• 27 apr 2005

• #5

Merci alles lukt. Alleen nu nog in tabbellen steken wat gewoon een eentonig werkske is. Tis gewoon een formulierke voor monsters uit een DB te selecteren (D&D ) en alles gaat bijna bestaan uit drop down menu's dus veel foute input moet ik ni verwachten. Nogmaals bedankt.

C

Coax

Legacy Member

• 27 apr 2005

• #6

Geef den url is .

Nee serieus: altijd input controleren. Vertrouw mij maar

Aangezien ge het met GET mee geeft kunt ge die parameters ook gewoon aanpassen in den url.
Dmv sql injection kunt ge dan gewoon sql code uitvoeren.
Ge moet is hetvolgende in den url achter uwen id zetten:

PHP:

%20OR%201=1

En da is nog maar iets onschadelijks. Ik weet ni juist hoe, maar ik denk da ge op die manier ook drop tables en van die dingen kunt doen.

Ge pakt best 'intval($_GET["id"])' of zoiets. (En er bestaan nog andere trukken zoals mysqlclean())

m

maT'

Legacy Member

• 27 apr 2005

• #7

Coax zei:

En da is nog maar iets onschadelijks. Ik weet ni juist hoe, maar ik denk da ge op die manier ook drop tables en van die dingen kunt doen.

Ge pakt best 'intval($_GET["id"])' of zoiets. (En er bestaan nog andere trukken zoals mysqlclean())

Klik om te vergroten...

een url als : monster.php?id=1; DROP TABLE leden;

maw: de queries scheiden met een puntkomma, en je sql-injection is gebeurd, en de tabel "leden" wordt gedropt.

het is dus idd een zeer goed idee je data te controleren, zelfs als je je formulieren met POST zou verzenden.
$id = (int) $_GET['id'];

P

PoMpElSiEn

Legacy Member

• 27 apr 2005

• #8

PHP:

 $query = "SELECT * FROM mm3e WHERE ID = ".$_GET['id']; 

moet worden

 $query = "SELECT * FROM mm3e WHERE ID = ".$_GET['id']."";

denkik toch ;s

F

Fr3aK

Legacy Member

• 27 apr 2005

• #9

Nah zo is goe maar ge kunt da op 1 lijn zette...

PHP:

mysql_query("SELECT * FROM mm3e WHERE ID = '$_GET['id']'");

C

Coax

Legacy Member

• 27 apr 2005

• #10

Blijkbaar zijn sommige posts in deze thread onzichtbaar voor 'PoMpElSiEn' en 'Fr3aK'.