Manualai.lt Forumas

Sveiki, man kilo toks klausimas: username ir email filtruoju su mysql_real_escape_string. O ar reikia filtruoti pass laukelį?

Tai ko negali iš karto pasakyti kad reikia naudoti mysqli_*. Tai ne matai, tyli, išsipisinėja iš naujoko!

Tokio kodo užtenka, norint apsisaugot? Galima $name = $_GET['username']; pakeist į $name = $_POST['username'];? Ir kodėl v
VALUES yra ?,? o ne kintamieji?
<?php
$name = $_GET['username'];
$password = $_GET['password'];
 
if ($stmt = $mysqli->prepare("INSERT INTO tbl_users (name, password) VALUES (?, ?)")) {
 
    // Bind the variables to the parameter as strings. 
    $stmt->bind_param("ss", $name, $password);
 
    // Execute the statement.
    $stmt->execute();
 
    // Close the prepared statement.
    $stmt->close();
 
}
?>

Ačiū už pagalba Bet jau ilgai vargstu prie kodo:
<?php
if ($insert_user = $dbh->prepare("INSERT INTO users (username, email, pass, group) VALUES (?, ?, ?, ?)")) {
 
    // Bind the variables to the parameter as strings. 
    $insert_user->bind_param($dbh, "ssss", $username, $email, $pass, 0);
 
    // Execute the statement.
    $insert_user->execute();
 
    // Close the prepared statement.
    $insert_user->close();
 
}
?>
Vis gaunu klaidą: Fatal error: Call to undefined method PDOStatement::bind_param() in /home/minfas/domains/minfas.us.lt/public_html/srautas/reg.php on line 67.

Ačiū už pagalba Bet jau ilgai vargstu prie kodo:

Kodas: [Pasirinkti]

<?php
if ($insert_user = $dbh->prepare("INSERT INTO users (username, email, pass, group) VALUES (?, ?, ?, ?)")) {
 
    // Bind the variables to the parameter as strings. 
    $insert_user->bind_param($dbh, "ssss", $username, $email, $pass, 0);
 
    // Execute the statement.
    $insert_user->execute();
 
    // Close the prepared statement.
    $insert_user->close();
 
}
?>
Vis gaunu klaidą: Fatal error: Call to undefined method PDOStatement::bind_param() in /home/minfas/domains/minfas.us.lt/public_html/srautas/reg.php on line 67.

Gal dėl to, kad vadinasi ne bind_param, o bindParam? Galioja, berods, visiems PDO metodams – camelCase
http://www.php.net/manual/en/pdostatement.bindparam.php

Beje, PDO prepare turi kitokius argumentus, nei mysqli. Tu bandai naudoti kaip mysqli.

Nebekyla

ps. Buvo čia vienas žmogus, kuris gavo ban'ą ir tu maždaug kai jam bausmė pasibaigė prisireginai O itarimas, nes rašymo manieros tokios pat Deja, itariau, bet be reikalo, tad atsiprašau

Tada turi palaikyti bindParam, tik neaišku kur pas tave bėda

Įmesk kodą kaip tu esi parašęs su bindParam

nuo kada reikia dėti tarpus prieš -> ir po???

bindParam() veikia ant reference, o tu paduodi konstantą (kas turbūt nėra reference). Jei tavo bindinamas parametras būtų kintamajame, tada bindParam() galėtų jį paimti kaip reference.

Iš esmės gali tiesiog naudoti bindValue(), kol megabaitinių duomenų netvarkai, vargu, ar bindinti pagal reference turi kokios realios naudos.

Ir dar, jei group yra int, tai ir duok jam int, o ne string. Aišku, MySQL konvertuoja implicitly tokius dalykus, bet niekad nereikia pasitikėt quirkais...

Beje, dar gali tiesiog naudoti execute() su masyvu parametrų. Pasiskaityk http://wiki.hashphp.org/PDO_Tutorial_for_MySQL_Developers , labai padės, o ne vien aklai kopijuok kodą.