% in SQL Anweisungen die durch vsprintf() verarbeitet werden

[lindner]

Hallo liebe Gemeinde,

ich habe folgendes Problem. Um SQL Injections in meiner Webseite zu umgehen, hab ich dafür eine Funktion geschrieben. Ungefähr so:

<?php
$sSql = sprintf("SELECT `col1`, `col2` FROM `table` WHERE `id` = %u AND `name` = '%s'", $_GET['id'], $this->_quoteValue($_GET['name']));
?>

nun habe ich folgendes Problem. Wenn ich jetzt eine SQL Anweisung habe in der in der WHERE Anweisung ein LIKE vorkommt, versucht sprintf() dieses natürlich mit zu verarbeiten.

Bsp:

SELECT `Id` FROM `tabelle` WHERE `name` LIKE '%wurst%'

bei mir müsste das dann ja so aussehen.

SELECT `Id` FROM `tabelle` WHERE `name` LIKE '%%s%'

wie kann ich php begreiflich machen, dass es das erste und das letzte % "in ruhe lassen soll" ??

habs schon mit / oder \ versucht, oder auch %%.. aber das funktioniert alles nicht. und bei der suche nach eine lösung, hab ich nichts gefunden.

ich würde mich freuen, wenn da jemand was wüsste.
viele grüße

lindner

[nikosch]

%% ist aber richtig. Die Lösung wäre dann bspw.

SELECT `Id` FROM `tabelle` WHERE `name` LIKE '%%%s%%'

Hallo liebe Gemeinde

Amen.
.

[Zergling-new]

Re: % in SQL Anweisungen die durch vsprintf() verarbeitet we

und bei der suche nach eine lösung, hab ich nichts gefunden.

Such das nächste mal zuerst im Manual:
http://de.php.net/sprintf

Jede der Formatierugs-Anweisungen besteht aus einem Prozent-Zeichen (%), gefolgt von einem oder mehrereren der folgenden Elemente:
[..]
% - ein Prozent-Zeichen ("%"). Es ist kein Argument erforderlich.

Es ist ganz einfach:
Google -> "sprintf sitehp.net" -> Fertig.

[KingCrunch]

Meistens reicht scho "php [funktiosname]"

[Zergling-new]

Ja dann landet man manchmal auf irgendwelchen phpforum.de oder phpcenter.de Manual-Kopien, deren Aktualität bestimmt nicht besser als das Original ist.