ReSQL.ru
     
powered by simpleCommunicator - 2.0.61     © 2026 Programmizd 02
Мобильная версия    Контакт    Правила    FAQ    Помощь
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Доб. в избранное | Игнор. тему | Прикреп. тему | Пометить прочит. / непрочит. | Фильтр
Форумы / MySQL [игнор отключен] [закрыт для гостей] / Что не так в этом запросе?
15 сообщений из 15, страница 1 из 1
Что не так в этом запросе?
    #38592729
Sven3312
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Sven3312
Гость
Что не так в этом запросе?
$q = mysql_query("SELECT * FROM `servers` WHERE `id` = '{$_GET['id']}' LIMIT 1") or die(mysql_error());

Этот запрос очень важен но из за него каждый школьник может зайти ко мне в БД
...
Рейтинг: 0 / 0
21.03.2014, 11:48:42
| Ответить | Цитировать | Написать  
Что не так в этом запросе?
    #38592736
вадя
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
вадя
Участник
воспользуйся хранимыми процедурами и будет тебе счастье и спокойный сон.
...
Рейтинг: 0 / 0
21.03.2014, 11:51:57
| Ответить | Цитировать | Написать  
Что не так в этом запросе?
    #38592739
Sven3312
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Sven3312
Гость
Озадачил. Что это и как это сделать?
...
Рейтинг: 0 / 0
21.03.2014, 11:54:30
| Ответить | Цитировать | Написать  
Что не так в этом запросе?
    #38592740
bochkov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
bochkov
Участник
Sven3312Что не так в этом запросе?
$q = mysql_query("SELECT * FROM `servers` WHERE `id` = '{$_GET['id']}' LIMIT 1") or die(mysql_error());

Этот запрос очень важен но из за него каждый школьник может зайти ко мне в БД
каким образом?
...
Рейтинг: 0 / 0
21.03.2014, 11:54:35
| Ответить | Цитировать | Написать  
Что не так в этом запросе?
    #38592743
miksoft
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
miksoft
Участник
Sven3312из за него каждый школьник может зайти ко мне в БДСовершенно верно, может.
Научитесь хотя бы кавычки экранировать во входящих данных.

А вообще никогда нельзя данные полученные извне отправлять прямо в базу. Если в данном случае предполагается число, то нужно сначала убедиться, что пришло именно число, а только потом подставлять его в запрос. В случае, если пришло не число (т.е. явно недопустимое значение), то нужно выдавать страницу 404 с кодом 404, а запрос даже не пытаться выполнить.
...
Рейтинг: 0 / 0
21.03.2014, 11:55:34
| Ответить | Цитировать | Написать  
Что не так в этом запросе?
    #38592744
miksoft
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
miksoft
Участник
вадявоспользуйся хранимыми процедурами и будет тебе счастье и спокойный сон.Не факт. Если он и в вызове хранимых процедур будет конкатенировать в запрос непроверенные значения, то счастья не будет.
...
Рейтинг: 0 / 0
21.03.2014, 11:57:00
| Ответить | Цитировать | Написать  
Что не так в этом запросе?
    #38592746
bochkov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
bochkov
Участник
ааа понял
...
Рейтинг: 0 / 0
21.03.2014, 11:57:21
| Ответить | Цитировать | Написать  
Что не так в этом запросе?
    #38592898
Фотография MasterZiv
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
MasterZiv
Участник
Sven3312,


Код: sql
1.
SELECT * FROM `servers` WHERE `id` = '{$_GET['id']}' LIMIT 1;



Подозреваю, что должно быть так:

Код: sql
1.
SELECT * FROM `servers` WHERE `id` = {$_GET['id']} LIMIT 1;
...
Рейтинг: 0 / 0
21.03.2014, 13:54:55
| Ответить | Цитировать | Написать  
Что не так в этом запросе?
    #38592915
miksoft
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
miksoft
Участник
MasterZivSven3312,


Код: sql
1.
SELECT * FROM `servers` WHERE `id` = '{$_GET['id']}' LIMIT 1;




Подозреваю, что должно быть так:

Код: sql
1.
SELECT * FROM `servers` WHERE `id` = {$_GET['id']} LIMIT 1;

Это сэкономит одно преобразование типов, но кардинально ситуацию не изменит.
...
Рейтинг: 0 / 0
21.03.2014, 14:11:18
| Ответить | Цитировать | Написать  
Что не так в этом запросе?
    #38592929
вадя
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
вадя
Участник
авторНе факт. Если он и в вызове хранимых процедур будет конкатенировать в запрос непроверенные значения, то счастья не будет.

не понял
вроде обсуждалось:
безопасность хранимых процедур MySQL
неужели автор не смог прочитать?

неужели автор из такого простого запроса сделает 15741858
...
Рейтинг: 0 / 0
21.03.2014, 14:22:45
| Ответить | Цитировать | Написать  
Что не так в этом запросе?
    #38592984
miksoft
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
miksoft
Участник
вадяавторНе факт. Если он и в вызове хранимых процедур будет конкатенировать в запрос непроверенные значения, то счастья не будет.

не понял
вроде обсуждалось:
безопасность хранимых процедур MySQL
неужели автор не смог прочитать?

неужели автор из такого простого запроса сделает 15741858 Ключевое слово было "при вызове".
...
Рейтинг: 0 / 0
21.03.2014, 14:46:24
| Ответить | Цитировать | Написать  
Что не так в этом запросе?
    #38593039
вадя
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
вадя
Участник
авторКлючевое слово было "при вызове".

не сочти за труд, объясни для меня подробно, я что-то не понял в твоём замечании...
...
Рейтинг: 0 / 0
21.03.2014, 15:27:13
| Ответить | Цитировать | Написать  
Что не так в этом запросе?
    #38593063
miksoft
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
miksoft
Участник
вадяавторКлючевое слово было "при вызове".

не сочти за труд, объясни для меня подробно, я что-то не понял в твоём замечании...Если он напишет так:
Код: sql
1.
CALL myproc('{$_GET['id']}')

лучше не станет. Независимо от того, что написано в процедуре.
...
Рейтинг: 0 / 0
21.03.2014, 15:42:06
| Ответить | Цитировать | Написать  
Что не так в этом запросе?
    #38593153
вадя
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
вадя
Участник
авторЕсли он напишет так:

CALL myproc('{$_GET['id']}')

лучше не станет. Независимо от того, что написано в процедуре.

аааааааа...
...
Рейтинг: 0 / 0
21.03.2014, 17:03:58
| Ответить | Цитировать | Написать  
Что не так в этом запросе?
    #38593373
SharuPoNemnogu
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
SharuPoNemnogu
Участник
Вот зачем пихать $_GET переменную сразу в запрос, а потом жаловаться что любой школьник этим воспользуется? Обработайте полученные данные пыхом и потом уже вставляйте. И тему в php наверно надо было перекинуть, при чем тут запрос вообще.
...
Рейтинг: 0 / 0
21.03.2014, 22:21:54
| Ответить | Цитировать | Написать  
15 сообщений из 15, страница 1 из 1
Форумы / MySQL [игнор отключен] [закрыт для гостей] / Что не так в этом запросе?
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
Польз. соглашение   Полит. конфиден.  
NoSQL.ru       Кролег: Проекты, Новости, Чат       РЕД ФОРУМ       Фотоальбом: Участники, Встречи
Закрыть
start [/forum/topic.php?fid=47&msg=38592915&tid=1835092]:
 0ms
get settings:
 6ms
get forum list:
 12ms
check forum access:
 2ms
check topic access:
 2ms
track hit:
 60ms
get topic data:
 6ms
get forum data:
 2ms
get page messages:
 42ms
get tp. blocked users:
 1ms
others: 213ms
total:  346ms
созд. / загр.: 346ms
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]