MySql Concat, prepared statements und Anführungszeichen

[prophet]

Hallo zusammen,

habe folgendes Problem.
Ich möchte, wenn der User sich ein neues Paket kauft, den alten Wert in einer anderen Spalte speichern.
Wenn ich folgenden Befehl per phpmyadmin ausführe funktioniert es einwandfrei

UPDATE user SET expiredate_old = CONCAT(expiredate_old,', ',expiredate), expiredate = DATE_ADD(expiredate, INTERVAL 5 MINUTE) WHERE username="username"

, wenn ich es jedoch per PHP MySqlI mit prepared statements ausführen lasse

UPDATE user SET expiredate_old = CONCAT(expiredate_old,', ',expiredate), expiredate = DATE_ADD(expiredate, INTERVAL " . $minutes . " MINUTE) WHERE username=?, array("username") 

kommt folgende Fehlermeldung

"PHP message: PHP Fatal error:  Problem preparing query (UPDATE user SET expiredate_old = CONCAT(expiredate_old,\', \',,expiredate), expiredate = DATE_ADD(expiredate, INTERVAL 13306 MINUTE) WHERE username=?) You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '\', \',expiredate), expiredate = DATE_ADD(expiredate, INTERVAL 5 MIN' at line 1 in .....

Dank der Prepared Statements und mysqli_real_escape_string, sind datenbankattacken ja sogut wie nicht möglich, da unter anderem alles escaped wird.
Nun möchte ich aber das die Werte in expiredate_old durch ein ", " oder sonst irgendein Zeichen voneinander getrennt bleiben.

Wieso funktioniert der Befehl per PHP mysqli nicht? Bin da grad echt ratlos und finde dazu auch nichts mit google oder sonst wo. Ich bin mir sicher das es was mit den Anführungsstrichen zu tun hat, aber weiß nicht was ich dagegen machen kann...

Gruß
prophet

[tkausl]

Dank der Prepared Statements und mysqli_real_escape_string, sind datenbankattacken ja sogut wie nicht möglich, da unter anderem alles escaped wird.

Du solltest vieleicht die Query nicht escapen...

[prophet]

Daran hab ich auch schon gedacht, nur da ich eine Klasse geschrieben habe, die alles automatisch macht, hatte ich gehofft, dass es evt. noch eine andere Möglichkeit gibt

[tkausl]

Daran hab ich auch schon gedacht, nur da ich eine Klasse geschrieben habe, die alles automatisch macht, hatte ich gehofft, dass es evt. noch eine andere Möglichkeit gibt

Jo, escape einfach alles, hau es lieber noch durch htmlentites und ne handvoll andere Funktionen damit es 100% sicher ist, und dann speicher das ganze in ner CSV damit man erst garnicht die DB durch SQLi beeinflussen kann.

[prophet]

Sag mir bitte wenn ich mich irre, aber ist sqli mit prepared statements nicht unmöglich?

[lstegelitz]

UPDATE user SET expiredate_old = CONCAT(expiredate_old,', ',expiredate), expiredate = DATE_ADD(expiredate, INTERVAL " . $minutes . " MINUTE) WHERE username=?, array("username")

Wenn du nur Fragmente zeigst, ist Hilfe kaum zu erwarten... DAS da oben ist jedenfalls weder Fisch noch Fleisch

[ChristianK]

Wieso überhaupt die Minuten direkt in den Query eingeben? Die kannst du auch als Parameter an das Prepared Statement übergeben.

[prophet]

Das ist eine Gute frage, habs mir iwie angewöhnt, sachen die im script selbst berechnet werden (Nur Zahlen!) und kein Userinput ist, direkt in die query zu schreiben, ka warum ich das tu

Wenn du nur Fragmente zeigst, ist Hilfe kaum zu erwarten... DAS da oben ist jedenfalls weder Fisch noch Fleisch

Was genau meinst du mit, weder Fisch noch Fleisch?

[ChristianK]

Meiner Meinung nach gleich alles als Parameter, ermöglicht auch ein optimaleres Cachen des Queries [wenn sich der Wert ändert].

Er meint, dass dein Post weder Hand noch Fuss hat. Zeig uns den Code (+-5 Zeilen), der den Fehler erzeugt. Nicht nur 1 Stückchen davon.

[prophet]

davor wird nur der Wert berechnet und ne neue Instanz erzeugt. Das ist die ganze funktion.

function update($percent, $days, $username){
   require_once 'class/mysqlidb.php'
   $mysqli = new MySqliDB();
   $minutes = calculatePercent($percent, $days);
   $success = $mysqli->ExecuteSQL("UPDATE user SET expiredate_old = CONCAT(expiredate_old,', ',expiredate), expiredate = DATE_ADD(expiredate, INTERVAL " . $minutes . " MINUTE) WHERE username=?", array("username"));
   $mysqli->CloseConnection();
   return $success;
}

function calculatePercent($percent, $days){
    return round(($days / 100 * $percent) * 24 * 60);
} 

[VPh]

Wäre vielleicht noch interessant, zu sehen was denn deine Datenbankklasse und die Methode macht.

[nikosch]

require_once 'class/mysqlidb.php'
$mysqli = new MySqliDB();

Eigentlich hat man hier schon genug gesehen…

[prophet]

Eigentlich hat man hier schon genug gesehen…

Erklärung bitte! Was ist daran falsch?