mysql_real_escape_string - Fehler

Schaelle · 03.07.2004, 23:32

Hallo, um SQL-Injections zuverhindern (bin mir nichtmal sicher ob das was bringt) nutze ich bevor ich die Variabelen in einem Query angebe die Funktion mysql_real_escape_string(). Also wird bei einem Login z.B. statt Schaelle --> "Schaelle" angegeben. Dadurch bekomm ich aber jetzt einen Fehler, bzw dadurch wird mein Ergebniss verfälscht, wen ich folgendes nehme bekomme ich unten stehnden Fehler:

Code:

	db();
	$name = addslashes(htmlspecialchars(trim(sqlSafeString($_POST['name']))));
	$password = md5($_POST['pw']);
	$password = addslashes(htmlspecialchars(trim(sqlSafeString($password))));
	$sql = "SELECT
		   $db[member].memberid,
		   $db[member].name,
		   $db[acces].isatrainer
		FROM
		   $db[member]
		INNER JOIN
		   $db[acces] on $db[acces].accessgroupid = $db[member].accessgroupid
		WHERE
		   $db[member].name = ".$name." AND $db[member].password = ".$password."";	
		
	$result = mysql_query($sql);
	print mysql_error();
	if(mysql_num_rows($result) < 1) {
		alert($alert['noadmin']);
	}
	else {
		print("OK");
	}

Wobei in der Funktion sqlSafeString() die Funktion mysql_real_escape_string () vorhanden ist.
Der Fehler ist dann: You have an error in your SQL syntax near '"Schaelle" AND vwarvwar_member.password = "33fa6014d6f1bbf246904f' at line 10.

Wen ich jetzt noch im Query die Variabelen in der Where Klausel in ' setze kommt zwar kein Fehler, aber das Ergebniss wird verfälscht und es findet nix.
Achja wenn ich die oben genannte Funktion weglasse funzt das Query. Nur ich will es halt sicherer machen.

Hoffe das Ihr mehr Ahnung davon habt als ich und den Fehler findet, würde mich sehr freuen

mfg

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
bitte hilfe! mysql fehler meldung:	basicx	PHP Tipps 2008	2	22.07.2008 16:36
mysql fehler meldung:	basicx	Datenbanken	1	22.07.2008 09:48
Mysql Syntax Fehler		Datenbanken	3	06.07.2006 09:58
[Erledigt] [phpmailer] - SMTP Fehler: Die folgenden Empfänger sind ...		PHP Tipps 2005-2	1	05.10.2005 15:19
Seite wird nicht angezeigt, untersch. Fehler bei IE/FF/Safar		PHP-Fortgeschrittene	19	31.05.2005 14:52
Blöder MySQL Fehler		PHP Tipps 2005	3	15.05.2005 03:14
Fehlermeldung - aber kein fehler...	Tschuu	HTML, Usability und Barrierefreiheit	16	14.03.2005 15:56
finde fehler trotz manual nicht: SELECT	lindner	Datenbanken	3	13.03.2005 08:39
[Erledigt] Wo liegt der fehler??		PHP-Fortgeschrittene	5	22.12.2004 09:54
[Erledigt] mysql fehler		PHP Tipps 2004	2	03.11.2004 00:32
Wo ist der Fehler?	socke	Datenbanken	10	01.11.2004 18:10
Fehler anders ausdrücken		PHP Tipps 2004	4	27.10.2004 15:09
Hilfe ich finde den Fehler nicht!		PHP Tipps 2004	2	07.10.2004 17:40
array_push nur in begrenzter Anzahl ausführen ?		PHP Tipps 2004	2	07.09.2004 09:05
Paradox, Fehler bei Berechnung in MySQL	MrNiceGuy	Datenbanken	0	23.06.2004 16:09

03.07.2004, 23:32
Schaelle Benutzer Registriert seit: 02.08.2003 Beiträge: 93	mysql_real_escape_string - Fehler Hallo, um SQL-Injections zuverhindern (bin mir nichtmal sicher ob das was bringt) nutze ich bevor ich die Variabelen in einem Query angebe die Funktion mysql_real_escape_string(). Also wird bei einem Login z.B. statt Schaelle --> "Schaelle" angegeben. Dadurch bekomm ich aber jetzt einen Fehler, bzw dadurch wird mein Ergebniss verfälscht, wen ich folgendes nehme bekomme ich unten stehnden Fehler: Code: db(); $name = addslashes(htmlspecialchars(trim(sqlSafeString($_POST['name'])))); $password = md5($_POST['pw']); $password = addslashes(htmlspecialchars(trim(sqlSafeString($password)))); $sql = "SELECT $db[member].memberid, $db[member].name, $db[acces].isatrainer FROM $db[member] INNER JOIN $db[acces] on $db[acces].accessgroupid = $db[member].accessgroupid WHERE $db[member].name = ".$name." AND $db[member].password = ".$password.""; $result = mysql_query($sql); print mysql_error(); if(mysql_num_rows($result) < 1) { alert($alert['noadmin']); } else { print("OK"); } Wobei in der Funktion sqlSafeString() die Funktion mysql_real_escape_string () vorhanden ist. Der Fehler ist dann: You have an error in your SQL syntax near '"Schaelle" AND vwarvwar_member.password = "33fa6014d6f1bbf246904f' at line 10. Wen ich jetzt noch im Query die Variabelen in der Where Klausel in ' setze kommt zwar kein Fehler, aber das Ergebniss wird verfälscht und es findet nix. Achja wenn ich die oben genannte Funktion weglasse funzt das Query. Nur ich will es halt sicherer machen. Hoffe das Ihr mehr Ahnung davon habt als ich und den Fehler findet, würde mich sehr freuen mfg __________________ PHP-Noob (?) _AT_ work


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten