Update Funktion!

[Madenar76]

Hallo!

Ich bin fast am verzweifeln bei einer einfachen Updaten-Funktion:

Bei diesem Code update ich zwar das Tabellenfeld text, allerdings in allen Datensätzen, nicht nur in den der durch die id geändert werden soll.

<? $update = mysql_query("UPDATE ladys SET text = '$text' WHERE id LIKE '%$id1%'"); ?>

Die Variable id1 wird zuvor durch eine anderen Seite mittels POST weitergegeben.

$id1 = $_POST[id]; 

Kann mir jemand helfen wo mein Fehler liegt? Ist denk ich mal ein dummer Anfängerfehler, aber trotzdem danke schon einmal im vorraus.

MFG

Madenar

[Asipak]

LIKE wird für unscharfe Suchen verwendet. Nutze stattdessen

WHERE `id` = 3

.

$id1 = $_POST[id];

ist Käse.

$id1 = $_POST['id']; 

ist korrekt.

[Dark Guardian]

Dein $id1 ist warscheinlich leer.

In dem Fall wird mit LIKE und den Wildcards wohl alles geupdated...

Außerdem solltest du auf SQL Injections achten.

[pidaman]

WHERE id = '$id1' 

wobei ich glaub das man die einfachen Anführungszeichen gar nich brauch

[nikosch]

WHERE id = '$id1' 

Falsch.


http://php.de/wiki-php/index.php/Cod...ng:Code-Smells

[pidaman]

ok sry

[nikosch]

Sorry, ich habe Blödfug erzählt. War noch in der Denkschleife von oben ($_POST['id']). Im Query ist das natürlich tital in Ordnung. Ob $sort2 ohne Anführungszeichen funzt, wage ich jetzt aber mal zu bezweifeln.

[Wolla]

PHP-Code:
<? $update = mysql_query("UPDATE ladys SET text = '$text' WHERE id LIKE '%$id1%'"); ?>
Die Variable id1 wird zuvor durch eine anderen Seite mittels POST weitergegeben.

Dann kann dir jemand die komplette Tebelle mit Unsinn überschreiben indem er irgendeinen text mit einer Schleife von id=1 bis id=100000 durchlaufen lässt und dir dann 100.000 UPDATES unterjubelt.

[Madenar76]

Hallo nochmal

und danke für eure Antworten. Allerdings aktualisiert er den entsprechenden in der ID eindeutigen Datensatz immer noch nicht. Ersetze ich allerdings die ID1-Variable durch die in der DB angegebnen Nummer z.B. 12, (z.B.

 Where id = '12'"; 

) aktualisiert er diesen (die id ist also nicht leer). der Variablen werden auch korrekt übergeben, ich kann diese duch echo ausgeben. Zum besseren Verständniss habe ich hier noch einmal den gesamten Code angehangen.

<? include "connect.php"; 

  $id1 = $_POST['id'];
  $text = $_POST['text']; 

  $update = mysql_query("UPDATE ladys SET text = '".$text."' WHERE id ='" .$id1. "' ");
  
?>

Ich hoffe mir kann jemand helfen, denn egal was ich versuche, das Update über die ID-Variable in der Where-Abfrage bringt kein Ergebniss, also das dementsprechende Feld Text wird nicht geupdatet. Danke für eure Bemühungen.

Madenar

[Dark Guardian]

Ersetze ich allerdings die ID1-Variable durch die in der DB angegebnen Nummer z.B. 12, (z.B.

 Where id = '12'"; 

) aktualisiert er diesen (die id ist also nicht leer)

Was ist das denn für ne Logik?

Mit Variable geht es nicht, mit festem Wert geht es, also stimmt der wert der Variablen?

var_dump($id1); gibt was aus?

[Chriz]

Dein Skript ist immernoch anfaellig fuer SQL-Injections. Mach dich dahingehend einmal schlau.