[PHP] Vergleich von Zahlen funktioniert, Buchstaben nicht

[fiasko]

Hallo,

himitus hat ja schon drauf hingewiesen... sinnvoll ist der Code also nur der Art:

Code:

"SELECT `Passwort`,`ID` FROM `Tabelle` WHERE `UserID`='".mysql_escape($_POST["User"])."'"

Ich würde allerdings im WHERE Teil das Paßwort mit einbziehen wenn es nur um das Überprüfen geht und dann schauen wieviel Ergebniszeilen das Query liefert.

[Nuclear-Ping]

Yo, stimmt, mit mysql_escape hat sich die Gefahr der "mySQL-Injection" mit einem kleinen Befehl erledigt. :thumb:

[himitsu]

Alles zusammengefasst:

Code:

<?php 
$connect = mysql_connect("localhost", "User", "Passwort"); 
$db = mysql_select_db("Datenbank"); 
$select = mysql_query("SELECT `ID` FROM `Tabelle` WHERE `UserID` = '" . addslashes($_POST["User"]) . "' AND `Passwort` = '" . addslashes($_POST["Passwort2"]) . "'"); 
$row = mysql_fetch_array($select);
mysql_close($connect);
if ($row)
   header("Location: http://www.addy.de/Test/abcd.php?BID=" . $row["ID"]); 
else
   echo("Passwort falsch"); 
?>

klar könnte man über mysql_num_rows einfach prüfen, ob User/Passwort OK sind, aber er braucht eh noch die ID, also kann er auch gleich das Ergebnis einholen und darüber prüfen.

und dann nochwas:
klar wird die Datenbankverbindung getrennt, wenn das Script beendet wird, aber wir wollen ja ordentlich programmieren und da schließen wir doch auch diese Verbindung ordnungsgemäß (mysql_close), oder?

@fiasko
mysql_escape... kannte ich noch nicht ^^

Aber "mysql_escape" scheint es nicht zu geben.
ich konnte mysql_escape_string und mysql_real_escape_string finden,
allerdings scheint mysql_escape_string ja eh nur's Selbe, wie addslashes zu machen, also werd' ich mir das nicht merken, ein Befehl reicht mir :)

[Mamphil]

Hi!

Zitat:

Zitat von himitsu

Aber "mysql_escape" scheint es nicht zu geben.

Dann verwende doch mysql_escape_string. :mrgreen:

Mamphil