Beste heren,
Misschien dat jullie mij kunnen helpen.

ik heb het volgende script :

PHP Code:

$query = mysql_query ("SELECT * FROM '$type' WHERE '$usertable' = '$username' AND password = '$password'") or die (mysql_error()); // mySQL query 


Als ik deze uitvoer krijg ik de volgende melding

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''students' WHERE 'schoolid' = 'test' AND password = '098f6bcd4621d373cade4e83262' at line 1

Kunnen jullie mij helpen ?

echo "SELECT * FROM '$type' WHERE '$usertable' = '$username' AND password = '$password'" en gooi dat eens in phpmyadmin

ik vermoed dat het aan '$type' ligt, door de quotes.

PHP Code:


$query = mysql_query ("SELECT * FROM $type WHERE `$usertable` = '$username' AND `password` = '$password'") or die (mysql_error()); // mySQL query 


Werkt die?
Quotes van tabellen (`) niet verwarren met die van data ('). Wil soms wel is moeilijk doen

@mark en Cedric

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''students' WHERE username = 'test'' at line 1

Deze krijg ik terug als ik de code van Cedric.
Het erge is dat ik dat ook had geprobeerd en ik snap er gewoon niets van :(
*niet meer althans *

PHP Code:


    // If the form has been submitted.
         if(isset($_POST['posted'])){
        
            $username =($_POST['username']);
            $password = md5($_POST['password']); // Encrypts the password.
            $leeg_md5  = "d41d8cd98f00b204e9800998ecf8427e";
            $type = ($_POST['type']);
                if ($type == company){
                        $usertable = 'contactid';
                }else{
                        $usertable = 'schoolid';
                } 


"SELECT * FROM `".$type."` WHERE `".$usertable."` = '".$username."' AND `password` = '".$password."'"

Ja, die van Daniel moet werken, ik bedoelde ook de ' om $type, die is niet nodig of kan vervangen worden door ` zoals Daniel aangeeft :)

Helaas

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''students' WHERE username = 'test'' at line 1

de code is nu

PHP Code:

$query = mysql_query ("SELECT * FROM `".$type."` WHERE `".$usertable."` = '".$username."' AND `password` = '".$password."'") 


Ik heb zelf ook verder gezocht nog op het internet maar ik kan het gewoon echt niet vinden.

Als je meer codes nodig hebben dan hoor ik het wel !

Origineel gepost door Jeffrey Bouva

Beste heren,
Misschien dat jullie mij kunnen helpen.

ik heb het volgende script :

PHP Code:

$query = mysql_query ("SELECT * FROM '$type' WHERE gebruikersnaamofzo = '$username' AND password = '$password'") or die (mysql_error()); // mySQL query 


Als ik deze uitvoer krijg ik de volgende melding



Kunnen jullie mij helpen ?

PHP Code:

$query = mysql_query ("SELECT * FROM ". $type ." WHERE gebruikersnaamwaarschijnlijk =  '$username' AND password = '$password'") or die (mysql_error()); //  mySQL query 


'$usertable' die quotes mogen nog weg denk ik :)

ja kwam ik net achter:P

Ik mag toch hopen dat je dit script niet gaat gebruiken?
Wel eens van een sql injectie gehoord? Men kan zo je database rippen. Zoek anders is op mysql_real_escape_string

Origineel gepost door gast5581

Ik mag toch hopen dat je dit script niet gaat gebruiken?
Wel eens van een sql injectie gehoord? Men kan zo je database rippen. Zoek anders is op mysql_real_escape_string

Hoe weet jij hoe de variabelen die in de query gebruikt worden gedefineerd zijn?

Origineel gepost door Robin L

Hoe weet jij hoe de variabelen die in de query gebruikt worden gedefineerd zijn?

Heb je zijn vorige code niet gelezen?


// If the form has been submitted.
if(isset($_POST['posted'])){

$username =($_POST['username']);
$password = md5($_POST['password']); // Encrypts the password.
$leeg_md5 = "d41d8cd98f00b204e9800998ecf8427e";
$type = ($_POST['type']);
if ($type == company){
$usertable = 'contactid';
}else{
$usertable = 'schoolid';
}

Origineel gepost door gast5581

Heb je zijn vorige code niet gelezen?


// If the form has been submitted.
if(isset($_POST['posted'])){

$username =($_POST['username']);
$password = md5($_POST['password']); // Encrypts the password.
$leeg_md5 = "d41d8cd98f00b204e9800998ecf8427e";
$type = ($_POST['type']);
if ($type == company){
$usertable = 'contactid';
}else{
$usertable = 'schoolid';
}

Ah mijn excuses, overheen gelezen.

Enfin, een normale query

PHP Code:

$query = mysql_query ("SELECT * FROM `database`.`tabel` WHERE `naamkolom` = 'match'") or die (mysql_error()); // mySQL query 


En denk inderdaad om SQL/XSS injecties zoals Raymond al aangaf.

Beste raymond,
Zoals gemerkt ben ik dus nog best een beginner in php.
Als de site af was wilde ik ook hier een site check aan vragen voor verbeteringen!

PHP Code:

        // Function: data
        // Purpose: preventing SQL injections
        function form($data) { // Prevents SQL Injection
           global $db_connect;
           $data = ereg_replace("[\'\")(;|`,<>]", "", $data);
          $data = mysql_real_escape_string(trim($data), $db_connect);
           return stripslashes($data);
        }
}
?> 


Ik heb deze functie wel in me dbconnector staan.
heeft dit geen functie ?
Aanvullend bericht:

Origineel gepost door Vincent Bruggeman

PHP Code:

$query = mysql_query ("SELECT * FROM ". $type ." WHERE gebruikersnaamwaarschijnlijk =  '$username' AND password = '$password'") or die (mysql_error()); //  mySQL query 


ik heb twee variable voor
"gebruikersnaamwaarschijnlijk"

van daar de $usertable

die kan ik dus niet gebruiken ?