MySQL Anfrage

[Greg]

Hallo,
ich möchte ein Newssystem mit php machen. Den kompletten Beitrag kann man sich dann über die Datei viewnews.php z.B.: viewnews.php?id=4

In der viewnews steht folgende Anfrage an die Datenbank

Code: Alles auswählen

  $db = @MYSQL_CONNECT($db_server,$db_user,$db_passwort);
  $db_select = @MYSQL_SELECT_DB($db_name);
  $query = "SELECT * FROM news WHERE id='".$id."'";
  $result = mysql_query($query);
  $row = mysql_fetch_row($result);


Aber es funktioniert nicht. Was habe ich falsch gemacht?

[burnie51]

also ich denke du solltest die befehle mysql_connect und mysql_select_db klein schreiben

greetz,
burnie

[radditz]

und wenn du das @ vorne wegmachst bekommste auch ne schöne detailierte fehlermeldung

[Greg]

Habe alles gemacht, mysql_connect und mysql_select_db klein geschrieben und das @ weggenommen. Funktioniert noch immer nicht.
Ãœbrigens: wenn ich z.b. screibe SELECT * FROM news WHERE ID=1 , dann funktionierts

[ragman]

Das id='" könnte doch was damit zu tun haben, oder?

Nimm für id mal was anderes als '

[burnie51]

dann schreibs einfach so:
[php]$query = "SELECT * FROM news WHERE id=".$id;[/php]

[Greg]

dann schreibs einfach so:
[php]$query = "SELECT * FROM news WHERE id=".$id;[/php]

Dann kommt folgende Meldung
Warning: mysql_fetch_row(): supplied argument is not a valid MySQL result resource in G:\sysadmin\Apache\Apache2\htdocs\RCnet\admin\viewnews.php on line 16

[burnie51]

bist du sicher, dass die variable $id existiert bzw. etwas drinnen steht?
überprüfe es einfach mit der zeile

Code: Alles auswählen

echo ((isset($id))?"existiert":"existiert nicht");

wenn $id deinem script übergeben wird (news.php?id=...) dann solltest du sicherstellen, dass REGISTER_GLOBALS auf ON ist.

Probier einfach mal diese zeile vor der 1. verwendung von $id:

Code: Alles auswählen

$id=$_GET["id"];

greetz,
burnie

[Greg]

Hallo brunie,
alles klar mit $id=$_GET["id"]; gehts. Wahrscheinlich habe ich die gloabalen Variablen nicht aktiviert. Wie kann ich das aktivieren? Ich verwende Apache Version 2.0.48 als Webserver.

[burnie51]

dazu musst du die php.ini ändern
und zwar musst du die zeile

Code: Alles auswählen

register_globals = Off

auf

Code: Alles auswählen

register_globals = On

ändern

[Greg]

Alles klar, habe den eintrag in der ini geändert. Vielen Dank für den Tipp

[Gustavo el Geranie]

Sei aber vorsichtig mit
[php]$query = "SELECT * FROM news WHERE id=".$_GET['id'];[/php]
Das ist ein potentielles Sicherheitsloch.
Weil stell dir vor, einer ruft das wie folgt auf:
http://domain.at/script.php?id=1 or 1=1"
dann schaut deine Abfrage so aus:
[php]$query = "SELECT * FROM news WHERE id=1 OR 1=1";[/php]
das heißt er bekommt alle Meldungen. Bei Meldungen vermutlich kein Problem, bei Benutzerdaten schon

[Greg]

Hallo

vielen Dank für den Tipp!

Habs aber wie folgt gelöst:

[PHP]
<?
$id = $_GET["id"];
$query = "SELECT * FROM news WHERE id=$id;"
?>