[PHP/(My)SQL] voor dummies - deeltje 38

quote:

Op zondag 11 februari 2007 12:00 schreef Chandler het volgende:
Weet iemand een manier om javascript zaken uit HTML te filteren? zodat ik heerlijk gewoon een wysiwyg editor kan gebruiken voor wat voor site dan ook maar?

quote:

Op zondag 11 februari 2007 14:46 schreef SuperRembo het volgende:

[..]

"om javascript zaken uit HTML te filteren"

quote:

Op zondag 11 februari 2007 14:31 schreef Chandler het volgende:
vtel! eens! :)

quote:

Op zondag 11 februari 2007 15:10 schreef Chandler het volgende:
Ik doel dus op het volgende

Er zijn vele varianten van <script> in html, en deze wil ik allemaal kunnen verwijderen op het moment dat een pagina wordt opgeslagen (en dat over wysiwyg editor boeit niet )

quote:

Op zondag 11 februari 2007 15:22 schreef Nevermind het volgende:
Is er een manier om alle aanwezige schijfletters op een windows pc te achterhalen? En is het mogelijk om onderscheid te maken tussen vaste (HD) en losse (CD/diskette) schijven?
Met COM werken is geen bezwaar, maar daar heb ik helaas geen kaas van gegeten

quote:

Seems that stream 0 comes from film source: 23.98 (65535/2733) -> 23.98 (250000/10427)
Input #0, avi, from 'm:AnimeFate Stay Night[Eclipse] Fate-stay night - 02 (XviD) [FF455508].avi':
Duration: 00:24:30.0, start: 0.000000, bitrate: 1041 kb/s
Stream #0.0: Video: mpeg4, yuv420p, 640x368, 23.98 fps(r)
Stream #0.1: Audio: mp3, 48000 Hz, stereo, 128 kb/s
Must supply at least one output file
FFmpeg version SVN-r7215, Copyright (c) 2000-2006 Fabrice Bellard, et al.
configuration: --enable-memalign-hack
libavutil version: 49.1.0
libavcodec version: 51.25.0
libavformat version: 51.6.0
built on Dec 3 2006 00:22:39, gcc: 3.4.6

quote:

Op zondag 11 februari 2007 19:16 schreef ralfie het volgende:

quote:

Op zondag 11 februari 2007 20:47 schreef Chandler het volgende:

quote:

Op maandag 12 februari 2007 11:36 schreef Swetsenegger het volgende:
regexp vraag
[...]
Ik kan geen trim op het result loslaten, dus ik wil graag de regexp aanpassen zodat hij de whitespaces aan het eind negeert. maar uh... hoe :P

quote:

Op maandag 12 februari 2007 12:25 schreef SuperRembo het volgende:

[..]

Dan moet je de whitespace opgeven in je regexp, en wel buiten de haakjes:
[ code verwijderd ]

quote:

Op maandag 12 februari 2007 13:35 schreef Swetsenegger het volgende:
Hmz, waarom matched hij ook vanalles voor en na de TD? Ik wil alleen dat wat tussen de td staat :{

quote:

Op maandag 12 februari 2007 18:43 schreef SuperRembo het volgende:

[..]
[ code verwijderd ]

$matches[1] bevat alles wat tussen de 1e set haakjes staat. Dat zou moeten werken.

quote:

Op maandag 12 februari 2007 19:25 schreef SuperRembo het volgende:
Waarom stel je die vraag dan hier en niet in dat APS(.NET) topic? _{(Waar alleen maar ouwe ASP meuk in staat)}

quote:

Op maandag 12 februari 2007 19:49 schreef SuperRembo het volgende:
ASP.NET heeft minimaal Win2k Pro nodig. Dat lukt toch nog wel mag ik hopen?

quote:

Op maandag 12 februari 2007 19:27 schreef Swetsenegger het volgende:

[..]

Omdat een regexp een regexp is en ik weet dat hier mensen zitten die veel weten van regexps
Ja ik kan het ook niet helpen dat het intranet nog op ASP3.0 draait

quote:

Op donderdag 15 februari 2007 10:38 schreef super-muffin het volgende:

[ code verwijderd ]
Dat dus. Maar ik zou nog wel ergens de invoer van $pagina controleren.

quote:

Op donderdag 15 februari 2007 10:48 schreef CaPS_ het volgende:

[ code verwijderd ]

Zie ook dit artikeltje op scriptorama.

quote:

Op donderdag 15 februari 2007 11:02 schreef super-muffin het volgende:
en vergeet en geen else aan te hangen om de gebruiker door te sturen of iig een nette foutmelding te geven, mocht het voorkomen.

quote:

Op donderdag 15 februari 2007 11:29 schreef super-muffin het volgende:
Maar welke ga je nu gebruiken, die van CaPS of die van jou?

quote:

Op donderdag 15 februari 2007 11:54 schreef Geqxon het volgende:

[ code verwijderd ]

Bingo, als je nog even een 404.php aanmaakt zou het moeten werken. Je default kun je het beste onderaan gooien

quote:

Op donderdag 15 februari 2007 11:43 schreef Qunix het volgende:

[..]

Die van mij heeft een bug...
Heb jij anders een idee hoe ik de bug kan oplossen in mijn script?
Ik snap niet precies het CaPS script
Bvd.

quote:

Op donderdag 15 februari 2007 12:07 schreef Qunix het volgende:

[..]

Als er nou geen waarde in de pagina is, dan pakt de switch toch default?

quote:

Op donderdag 15 februari 2007 12:07 schreef Qunix het volgende:

[..]

Als er nou geen waarde in de pagina is, dan pakt de switch toch default? :?

quote:

Op donderdag 15 februari 2007 12:21 schreef super-muffin het volgende:
ik zou er dan van maken:
[ code verwijderd ]

quote:

Op donderdag 15 februari 2007 12:16 schreef super-muffin het volgende:

[..]

Die van CaPS is het makkelijkst.
hier is zijn script met commentaar:

[ code verwijderd ]

quote:

Op donderdag 15 februari 2007 13:37 schreef Geqxon het volgende:
De kans is gering dat het werkt, maar for the sake of safety zou je ook iets als dit even kunnen proberen:


[ code verwijderd ]

Dan is het in principe onmogelijk om "gekke" pagina's aan te vragen

quote:

Op donderdag 15 februari 2007 14:50 schreef super-muffin het volgende:
SELECT *
FROM tabelnaam1, tabelnaam2

Misschien heb je wat aan deze site:
http://www.tizag.com/mysqlTutorial/

quote:

Op donderdag 15 februari 2007 12:22 schreef Geqxon het volgende:
Verder ben ik van mening dat die isset en de in_array controle een beetje teveel van het goede is, want als hij in de array zit zal hij ook vast wel ge-set is.

quote:

Op donderdag 15 februari 2007 13:20 schreef Qunix het volgende:
Als de url "http://localhost/intranet/" is dan krijg ik de volgende foutmelding:
Notice: Undefined index: pagina in S:Leerbedrijfwwwrootintranetindex.php on line 72

Lijn 72 tot 73:
[ code verwijderd ]

Ligt dat aan de php instellingen? Of is het gevaarlijk?

quote:

Op donderdag 15 februari 2007 18:46 schreef BaggerUser het volgende:
dag, zit me teen klein probleempje.
ben onlangso vergestapt naar een nieuwe php, mysql en apache versie en alles werkt in princiepe
alleen krijg ik bij sql statements bij sommige nog een foutmelding:

de foutmelding:

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '


<?php

$text = $_POST['text'];
$id = $_GET['id'];


$sql = "UPDATE paginas SET content = '$text' WHERE id = '$id'";
mysql_query($sql) or die("<h1>Er is iets misgegaan</h1><hr>".mysql_error());

?>


ik weet al wel hoe het komt en heb al een workarround maar weet niet hoe ik de statement kan aanpassen zodat het wel nmormaal werkt.
het probleem is namelijk dat ik een stuk text probeer op te slaan, maar de ' uit de text als bijvoorbeeld ergens komma 's worden gebruikt dan loopt hij daar tegen aan in de statement... dubbele quotes gebruiken is een oplossing maar dat gaat gewoon niet altijd

iemand een idee hoe ik dit kan verhelpen ? ;(

quote:

Op donderdag 15 februari 2007 18:00 schreef ralfie het volgende:
of gebruik pointers:
[ code verwijderd ]

In combinatie met een simpel for loopje natuurlijk helemaal te gek

quote:

Op donderdag 15 februari 2007 20:38 schreef Chandler het volgende:
Minivraag

met dit maak ik van een string een array
[ code verwijderd ]

echter krijg ik dan
[ code verwijderd ]

maar eingelijk wil ik $font['Arial'] = "Arial" etc.

Weet iemand hoe ik dat simpel kan realiseren

quote:

Op donderdag 15 februari 2007 20:39 schreef Chandler het volgende:

[..]

Toch zou ik $_GET['id'] ff met is_numeric checken, in case of

quote:

Op donderdag 15 februari 2007 21:01 schreef Tijn het volgende:
Waarom zou je willen dat de key hetzelfde is als de value? Wat is dan nog het nut van ze beiden opslaan?

quote:

Op donderdag 15 februari 2007 21:03 schreef Swetsenegger het volgende:

Uiteraard ga je met is_numeric controleren, hoewel de grotste angel er met mysql_real_escape_STRING AL WEL UIT IS.

quote:

Op donderdag 15 februari 2007 21:03 schreef Swetsenegger het volgende:

Uiteraard ga je met is_numeric controleren, hoewel de grotste angel er met mysql_real_escape_STRING AL WEL UIT IS.

quote:

Op donderdag 15 februari 2007 21:45 schreef slakkie het volgende:

[..]

Waarom zou je een integer gaan behandelen als een string?

Als ie de is_numeric passed betekend het toch dat je deze data kan gebruiken voor je SQL query. Al dan niet met een single quote char eromheen.

mysql_real_escape_string lijkt me voor strings alleen, niet voor een integer.

quote:

Op donderdag 15 februari 2007 22:17 schreef Swetsenegger het volgende:

[..]

mysql_real_escape_string slasht quotes en voorkomt derhalve sqlinjection. Ook integers als string behandelen is een goed idee, als je eens een keer slipt met je userinput controlle zou er wel eens een 'tje in je 'integer' kunnen staan.

quote:

Op donderdag 15 februari 2007 22:17 schreef Swetsenegger het volgende:

[..]

mysql_real_escape_string slasht quotes en voorkomt derhalve sqlinjection. Ook integers als string behandelen is een goed idee, als je eens een keer slipt met je userinput controlle zou er wel eens een 'tje in je 'integer' kunnen staan.

quote:

Op dinsdag 13 februari 2007 08:50 schreef Xcalibur het volgende:
voor alle regex mensen hier: weet iemand vanaf welke Linux / PHP versie de regex ook special characters kan matchen (ė / ą / etc.). Ik had een Windows server met PHP 4.3.11 waar het werkte, maar nu ben ik over naar een Linux server met PHP 4.3.11, en daar werkt het niet

Het gaat dus om regexen als: P{M} enzo

Edit: ik krijg dus deze error: "Warning: preg_match(): Compilation failed: PCRE does not support L, l, N, P, p, U, u, or X"

quote:

Op donderdag 15 februari 2007 22:17 schreef Swetsenegger het volgende:

mysql_real_escape_string slasht quotes en voorkomt derhalve sqlinjection. Ook integers als string behandelen is een goed idee, als je eens een keer slipt met je userinput controlle zou er wel eens een 'tje in je 'integer' kunnen staan.

quote:

Op vrijdag 16 februari 2007 17:16 schreef splendor het volgende:
Controleer je php.ini eens of register_globals aan staat, die moet uitstaan en in php5 kun je die geloof ik niet eens meer aanzetten, dus dat zou het verklaren.

register_globals zorgt ervoor dat je een global (session is dit geval) kunt gebruiken alsof het een normaal variable is, dus hij maakt van $_SESSION['SettleLand'] autoatisch al $SettleLand, en die is inderdaad "Nederland" geworden in jou script. Overigens raar dat $_SESSION['SettleLand'] ook nederland wordt maar vooruit, zal de andere kant ook wel zo op werken.

quote:

Op donderdag 15 februari 2007 23:31 schreef slakkie het volgende:

[..]

Ik volg je niet echt..

Ik zie de gehele reden voor de mysql_real_escape_string niet. Het is een integer, geen string. En zelfs al is het een string, dan heb je die mysql_real_escape_string niet nodig. Een input van '9 moet ie er zoiezo uitfilteren en op barfen, daar hoef je niet nog eens een \'9 van te maken. Dit is immers geen int.

Ik zat ff te spelen met verschillende manier om te checken of iets een int is.
[ code verwijderd ]


[ code verwijderd ]

Zoals je kan zien, heb ik die hele mysql_real_escape_string niet nodig. Die is_numeric is mij te los qua wat ie als integer zit, ik zou hem iig daarvoor nooit gebruiken. Ik zou dus altijd met een regexp checken of het een integer is.

Wellicht dat intval() ook nog gebruikt kan worden, ik heb ermee getest, maar die vind 9.9 ook een int, en daar ben ik het niet mee eens, dat is een double/float, en valt dus buiten de boot.

quote:

Op donderdag 15 februari 2007 23:11 schreef CraZaay het volgende:

[..]

Nee, dat kan er dus niet in staan als is_numeric() true is

quote:

Op donderdag 15 februari 2007 22:17 schreef Swetsenegger het volgende:
als je eens een keer slipt met je userinput controlle zou er wel eens een 'tje in je 'integer' kunnen staan.

quote:

Op vrijdag 16 februari 2007 19:10 schreef splendor het volgende:
Is het misschien iets om voor iedereen hier een functie te schrijven die veilig met $_GET's omgaat?

Ik wil wel een begin geven door mijn voorlopige functie hier neer te zetten, kan iemand anders hem uitbreiden en er over discussiėren tot we een goeie hebben.
[ code verwijderd ]

Misschien een idee dat je aangeeft of het een int, string of beide moet/mag zijn en dat ie daar dan ook op controleert.

quote:

Op vrijdag 16 februari 2007 18:52 schreef Swetsenegger het volgende:

Je gaat er maar vanuit dat je daadwerkelijk de userinput controleert. Zowel mysql als php zijn zo inconsistent als de tyfus met strings en integers, dus is 1 fuck-up voldoende om sql injection toe te staan.

quote:

Ik begrijp jouw weerstand niet tegen een extra safety maatregel als mysql_real_escape_string. Zeker niet in toepassingen zoals de meeste hier maken waar performance geen groot issue is. Want eigenlijk is dat de enige reden die ik kan bedenken voor je aversie tegen een failback systeem

quote:

Op vrijdag 16 februari 2007 22:38 schreef slakkie het volgende:

[..]

Ik neem niet aan dat de data al gevalideerd is. En in mijn check weet ik dat de data een integer is (in de regexp accepteerd ie ook doubles en floaters). Maar ik weet dat de data correct is en daarna alles met mijn data doen. Het is gechecked, alles wat ik daarna doe is op mijn conto en heeft dan niks meer te maken met users die SQL injection willen doen.

quote:

Nee, ik begrijp je redenatie achter de safety maatregel. Ik snap alleen niet waarom je dit met een integer doet. Het is namelijk geen string. Dat is mijn enige commentaar.