spjallid.is

vantar smá hjálp hérna, er aðeins að leika mér að búa til register síðu, kóðinn:


allavega vandamálið byrjar í línu 80 eða þar nálægt, það sem þetta á að gera er að gá hversu mörg notendanöfn eru í mySQL sömu og það sem var sett inn,
ef það eru 0 jöfn og $username á ekkert að gerast annars á það að fara á síðu sem segir að notendanafn sé í notkun, vandamálið er í línu 84 sem er:


hvað er ég að gera vitlaust ?, allar ábendingar vel þegnar

EDIT: fattaði núna að ég var með html kóða efst en það má víst ekkert vera fyrir ofan php tögin hvernig get ég fengið þetta:

til að vera efst

Ég held að það sé nokkurnvegin svona: https://gist.github.com/800857 (hef ekki keyrt þetta)

Það sem er að er að þú verður að stilla allt sem þú sendir í HTTP hausnum áður en þú byrjar að prenta út => setja header() köll efst.

dori skrifaði:Ég held að það sé nokkurnvegin svona: https://gist.github.com/800857 (hef ekki keyrt þetta)

Það sem er að er að þú verður að stilla allt sem þú sendir í HTTP hausnum áður en þú byrjar að prenta út => setja header() köll efst.

þetta virkar takk, reyndar dáltið einfalt þegar ég sé villuna

Dæmigerð öryggishola væni, sql-injection.
http://en.wikipedia.org/wiki/SQL_injection

Notaðu: http://php.net/manual/en/function.mysql ... string.php

Bobby tables myndi fara illa með kerfið þitt... Haha, ég las ekkert yfir þetta nema til að finna hvar header() endaði. Ég myndi líka nota library fyrir formið. Sé í fljótu bragði þetta hérna.. Það er kannski bara ég.

Svo er þetta form á kóðanum mjög skrýtið:

Það er líka rosalega móðins að senda notandanum aftur formið og leyfa honum að leiðrétta sig ef eitthvað var vitlaust hjá honum. Eitthvað í þessa áttina:

Þetta er auðvitað ekki kóði sem virkar en ætti að gefa einhverja hugmynd um hvað þú getur gert.

appel skrifaði:

Kóði: Velja allt

$username=$_POST[username];
...
$query="SELECT * FROM users WHERE username ='$username'";

Dæmigerð öryggishola væni, sql-injection.
http://en.wikipedia.org/wiki/SQL_injection

Notaðu: http://php.net/manual/en/function.mysql ... string.php

hvað á að vera í "mysql_real_escape_string()" ?

B.Ingimarsson skrifaði:hvað á að vera í "mysql_real_escape_string()" ?

Þetta er einhvernveginn svona held ég.

semsagt setur ekki breytuna inn í queryið sjálft, heldur '%s' sem er placeholder fyrir streng. Svo inn í real escape string kemur strengurinn sem þú vilt að komi í staðinn fyrir '%s' þegar kóðinn er keyrður.

SteiniP skrifaði:

B.Ingimarsson skrifaði:hvað á að vera í "mysql_real_escape_string()" ?

Þetta er einhvernveginn svona held ég.

Kóði: Velja allt

$query=sprintf("SELECT * FROM users WHERE username ='%s", mysql_real_escape_string($username));

semsagt setur ekki breytuna inn í queryið sjálft, heldur '%s' sem er placeholder fyrir streng. Svo inn í real escape string kemur strengurinn sem þú vilt að komi í staðinn fyrir '%s' þegar kóðinn er keyrður.

ok, er þetta semsegt öruggara svona.

núna ætlaði ég að láta scriptina setja breyturnar $name, $username, $email, $password í mysql table þetta er kóðinn sem ég notaði:

hvað er ég að gera vitlaust

B.Ingimarsson skrifaði:ok, er þetta semsegt öruggara svona.

Já, annars getur fólk sett inn sql query í username kassann og t.d. fengið út allar upplýsingar um alla notendur á síðunni.

B.Ingimarsson skrifaði:núna ætlaði ég að láta scriptina setja breyturnar $name, $username, $email, $password í mysql table þetta er kóðinn sem ég notaði:

Kóði: Velja allt

mysql_query("INSERT INTO users (full name, username, email, password) VALUES ($name,$username, $email, $password)");

hvað er ég að gera vitlaust

Eru þetta örugglega rétt nöfn á dálkunum í töflunni? Man ekki hvort það var hægt að nota bil í mysql dálkanöfnum ("full name")

Annars ættirðu að nota sql escape string í þessu á sama hátt og í select queryinu.

hmmm

þetta virkar með sql query, svona:


en ekki svona:


? ? ? ? ? ?

sprintf() er bara til að formatta streng (string print formatted er væntanlega það sem þetta stendur fyrir).

Gerðu bara þetta:

dori skrifaði:sprintf() er bara til að formatta streng (string print formatted er væntanlega það sem þetta stendur fyrir).

Gerðu bara þetta:

Kóði: Velja allt

mysql_query(sprintf(...));


þetta er ekki að virka, hef þetta bara hinseginn laga það seinna þegar ég kann betur á þetta takk samt fyrir alla hjálpina

B.Ingimarsson skrifaði:

dori skrifaði:sprintf() er bara til að formatta streng (string print formatted er væntanlega það sem þetta stendur fyrir).

Gerðu bara þetta:

Kóði: Velja allt

mysql_query(sprintf(...));


þetta er ekki að virka, hef þetta bara hinseginn laga það seinna þegar ég kann betur á þetta takk samt fyrir alla hjálpina

Neineinei... Þá ertu að bjóða uppá injection attack. Hvaða villa kemur? Það væri rosalega flott að fá það svo að við getum hjálpað þér. Prufaðu svo að henda þessu inn í kóðann:

Hvaða streng prentar þetta?

villurnar:

kóðinn í heild:

sprintf kóðinn:


echo sprintf kóðinn:


þegar ég notaði echo þá prentaði það út:


sem er $name, $username, $email, $password til samans ($name = bbbbbbb, $username = bbbbbbb, $email = bbbbbbb, $password = bbbbbbbbbbbbbb)

og gaf ennþá villuna:

Af hverju að nota sprintf() ?

intenz skrifaði:Af hverju að nota sprintf() ?

það er víst öruggara, lestu þráðinn

B.Ingimarsson skrifaði:

intenz skrifaði:Af hverju að nota sprintf() ?

það er víst öruggara, lestu þráðinn

Skiptir ekki máli. þetta sem intenz póstaði gerir held ég sama gagn.
Aðalatriðið er að setja mysql_real_escape_string() utan um breyturnar áður en query er keyrt á gagnagrunninum.

Annars sýnist mér þessi villa bara vera smá svigaruglingur. Þú ert að loka sprintf kallinu áður en þú setur strengina inn í það.

Ætti að virka svona.

intenz skrifaði:Af hverju að nota sprintf() ?

Ég fíla að nota string formatting... Kannski er það dýrara en hitt, ég hef ekki notað PHP svo lengi að ég man ekki lengur allt um hvernig þetta virkar. Var ekki líka einhver díll með ' eða "? Þannig að ef þú notar einfaldar gæsalappir er ekki leitað eftir $breytum og þannig er það hraðvirkara (ef það á ekki að leita eftir breytum).

Ég allavega fíla string formatting, þetta er rosalega basic virkni en þegar þú ert kominn með fjölda aukastafa á tölum, dagsetningar o.fl. þess háttar þá er þetta alveg magnað og mjög ávanabindandi.

ókey svona er kóðinn núna:

er þetta ekki bara fínt , hef samt aldrei áður séð þetta sprintf, notaði altaf bara mysql_quote

B.Ingimarsson skrifaði:ókey svona er kóðinn núna:

Kóði: Velja allt

...

er þetta ekki bara fínt , hef samt aldrei áður séð þetta sprintf, notaði altaf bara mysql_quote

Ég myndi nú ekki segja að þetta sé "fínt" (skoðaðu fyrri athugasemdir við stílinn á if setningum og notkun á http redirect til að birta villur. Ég var búinn að gera einhverja tilraun til að lagfæra þetta en gafst upp í bili þegar ég sá að þetta er bara síðan sem höndlar formið (s.s. bara fyrir post höndlun). Skal kannski rífa mig í að senda kóðann sem ég var búinn að breyta með athugasemdum.

Það sem ég var að breyta var samt basically ekki nota þetta kjánalega "if() { no-op } else { action! }", ekki nota regex heldur ctype_alnum/ctype_alpha til að skoða strengi (þessi regex hjá þér eru líka eitthvað vafasöm finnst mér). Og svo ekki ákveða of mikið hvernig nöfn á fólki eru (bara alpha? það er til fólk sem heitir nöfnum með allskonar táknum t.d. - og ').

B.Ingimarsson skrifaði:

intenz skrifaði:Af hverju að nota sprintf() ?

það er víst öruggara, lestu þráðinn

Er það öruggara? Hvernig þá?

dori skrifaði:Ég myndi nú ekki segja að þetta sé "fínt" (skoðaðu fyrri athugasemdir við stílinn á if setningum og notkun á http redirect til að birta villur. Ég var búinn að gera einhverja tilraun til að lagfæra þetta en gafst upp í bili þegar ég sá að þetta er bara síðan sem höndlar formið (s.s. bara fyrir post höndlun). Skal kannski rífa mig í að senda kóðann sem ég var búinn að breyta með athugasemdum.

Það sem ég var að breyta var samt basically ekki nota þetta kjánalega "if() { no-op } else { action! }", ekki nota regex heldur ctype_alnum/ctype_alpha til að skoða strengi (þessi regex hjá þér eru líka eitthvað vafasöm finnst mér). Og svo ekki ákveða of mikið hvernig nöfn á fólki eru (bara alpha? það er til fólk sem heitir nöfnum með allskonar táknum t.d. - og ').

þarft þess ekkert mín vegna ég er bara eitthvað að leika mér, ég skil líka ekkert alltof mikið af því sem þú segir ég byrjaði að æfa mig í php í des '10 með tutorials frá http://www.thenewboston.com er bara að æfa mig, takk samt er heldur ekki alveg að skilja þig með ekki regex heldur eitthvað annað ?

ætlaði að láta upplýsingarnar sendast í mysql þegar notandi ýtir á takka, er ekki viss um að þetta sé rétti kóðinn en hvernig gæti ég gert þetta
(echo 'echo' er þarna bara til prófunar)

<input type="submit" name="button" value="Halda áfram">

type="button" submittar ekki formið og því sendist breytan aldrei.