Hvad nu hvis en onsindet bruger opdager at sql koden står i urlen og og
kalder denne side
....jeg vil ikke giv et komplet link ... ?sager=DROP TABLE FUGLEDATA;DROP
TABLE TURDATA;
"Steen Brølling" <strix@mail.dk> skrev i en meddelelse
news:pan.2002.12.07.09.10.14.587441@mail.dk...
> Hej. Kan nogen forklare mig hvorfor følgende ikke fungerer. Jeg vil kalde
> en SELECT streng gennem browseren, og så trække data ud (mysql_query) på
> næste side:
>
> sqlside:
> ---<kode>---
> sql = "SELECT obsid, artnr, dato FROM FUGLEDATA AS a, TURDATA AS b,
> LOKALITETER AS c WHERE b.loknr = c.loknr AND a.turid = b.turid AND
> (a.kvalitet = '1' OR a.kvalitet = '2') ORDER BY a.obsid";
>
> $data = $sql;
>
> echo "<a
>
href=\"
http://www.dofbasen.dk/statistik/test.php?sager=$data\">$data.";
> ---</kode>---
>
> test.php:
> ---<kode>---
> $result = mysql_query($sager);
>
> while($row = mysql_fetch_array($result)) {
> $obsid = $row['obsid'];
> $artnr = $row['artnr'];
> $dato = $row['dato'];
>
> echo "$obsid (<i>$artnr</i>) ($dato)<br>";
> }
> ---</kode>---
>
> Jeg er sikker på at SELECT'en returnerer en masse værdier (er gyldig).
>
> Jeg connecter selvfølgelig til databasen på test.php, før jeg kalder
> $result, men får følgende fejl:
> Warning: Supplied argument is not a valid MySQL result resource - som om
> resultet er ugyldigt - men det er det altså ikke.
>
> MVH Steen
> --
>
http://www.broelling.dk (just a little something for the masses)
> RedHat 8/Linux 2.4.18 - still think penguins are cute!??