Goedemiddag SD-leden!

Onderstaande query is de boosdoener vandaag.

PHP Code:

SELECT 
                                                
             *
                                                    
             FROM 
                                                
                    Patents 
                                                    
             WHERE 
                                                
                    titel LIKE '%".$_POST['username']."%' 
                                                    
             AND 
                                                
                    status = 'actief' 
                                                    
             AND
                                                
                    omschrijving_kort LIKE '%".$_POST['username']."%' 
                                                
             OR
                                                
                    omschrijving_lang LIKE '%".$_POST['username']."%' 
                                                
             OR 
                                                
                    probleemomschrijving LIKE '%".$_POST['username']."%' 
                                                    
             OR
                                                
                    zoekwoorden LIKE '%".$_POST['username']."%'
                                                
             OR
                                                
                    usp LIKE '%".$_POST['username']."%'
                                                     
             OR
                                                     
                    alternatieven LIKE '%".$_POST['username']."%'
                                                    
             OR 
                                                    
                    opmerkingen LIKE '%".$_POST['username']."%' 


Zoals je ziet in de query gaat het er om dat die gaat zoeken op patenten en is het een plicht dat de patenten de status 'actief' hebben. Maar op een of andere manier laat hij de patenten met status 'inactief' ook zien.

Waar zit de fout in de query? Iemand die me kan helpen? Dat zou geweldig zijn!

Waarschijnlijk heeft het te maken met haken.

Code:

SELECT 
                                                
             *
                                                    
             FROM 
                                                
                    Patents 
                                                    
             WHERE (
                                                
                    titel LIKE '%".$_POST['username']."%' 
                                                    
               AND 
                                                
                    status = 'actief' 
                                                    
             ) AND (
                                                
                    omschrijving_kort LIKE '%".$_POST['username']."%' 
                                                
               OR
                                                
                    omschrijving_lang LIKE '%".$_POST['username']."%' 
                                                
               OR 
                                                
                    probleemomschrijving LIKE '%".$_POST['username']."%' 
                                                    
               OR
                                                
                    zoekwoorden LIKE '%".$_POST['username']."%'
                                                
               OR
                                                
                    usp LIKE '%".$_POST['username']."%'
                                                     
               OR
                                                     
                    alternatieven LIKE '%".$_POST['username']."%'
                                                    
               OR 
                                                    
                    opmerkingen LIKE '%".$_POST['username']."%'  
        )

exact door de haken (net als bij wiskunde) scheidt je de WHERE clause echt in 2en...

Bedankt jongens, ik heb het nu werkend!

Hier moet ik dus van huilen!

een POST of een GET rechtstreeks in je query plaatsen
Au, Au, Au!

Wat nu als een gebruiker hier nu eens niet braaf invult wat jij wilt.
Maar bijvoorbeeld een stuk mysql code invoert.

gebruik daarom ALTIJD ALTIJD ALTIJD
(had ik al gezegd dat je dit altijd moest doen)
mysql_real_escape_string

dus mysql_real_escape_string($_POST['test'])
ipv $_POST['test'];

Origineel gepost door Steven Verkuil

Hier moet ik dus van huilen!

een POST of een GET rechtstreeks in je query plaatsen
Au, Au, Au!

Wat nu als een gebruiker hier nu eens niet braaf invult wat jij wilt.
Maar bijvoorbeeld een stuk mysql code invoert.

gebruik daarom ALTIJD ALTIJD ALTIJD
(had ik al gezegd dat je dit altijd moest doen)
mysql_real_escape_string

dus mysql_real_escape_string($_POST['test'])
ipv $_POST['test'];

Haha, geweldig, nou ja, je reactie dan ;-).

Maar ik heb het aangepast. Dank je voor de juiste tip!

Jah sorry voor de lichte frustratie.
Maar dit is echt iets waar je mee uit moet kijken!

Ik ken mensen die hierdoor helaas grote delen van hun database zijn kwijtgeraakt.
Zelfs hele websites zijn overgenomen door dit soort onvoorzichtigheden.
(denk aan query's als: leegmaken en/of het uitlezen van hash/wachtwoord gegevens).

Kortom, volgens de 3 regels van php:
Never trust user input, Never trust user input, Never trust user input
moet je altijd een vorm van controle uitvoeren op welke vorm van userinput dan ook
(POST, GET, COOKIE, etc.)

It's magic.