[PHP-MySql] Wozu addslashes() etc. ?

[McClaine]

Hallo zusammen,

ich lese hin und wieder, dass man Texte (z.B. aus Formularfeldern) vor dem schreiben in die Db mit addslashes() bearbeiten soll.
Und beim Auslesen wieder stripslashes().

Ich habe diese Funktionen nie angewand und bis jetzt keine Probleme bekommen. Wozu sind die also gut?

Kann mir das einer von Euch erklären?

Gruß
McClaine

[Stuck Mojo]

Hi !! Das ist ganz einfach... mal ein Beispiel:

PHP-Code:

$string = "Hallo Leut's wie schaut's aus?";

mysql_query = ("INSERT INTO tabelle SET text = '$string'"); 


Das würde nicht funktionieren. Da der Query dann so aussehen würde:

INSERT INTO tabelle SET text = 'Hallo Leut's wie schaut's aus?'

...wenn du addslashes() vorher auf den string anwendest werden die ' oder die " excapet d.h ein \ wird davor gesetzt.

Hoffe das hilft...

Gruss Jan

[Stuck Mojo]

..kleiner Nachtrag... wenn Du Text aus einer Textarea an ein Script übergibst wird im Post oder irgendwo dazwischen die Funktion auf den Text schon angewand. Das siehst du, wenn du z.B. eine Textarea an sich selber schickst:

PHP-Code:

<form action="<?=$PHP_SELF;?>>
 <textarea name="deintext"><?=$deintext;?></textarea>
 <input type="submit" value="und los">
</form>

[mike]

is mir eine sql-reform entgangen?

PHP-Code:

INSERT INTO tabelle SET text = 


[Boris]

"addslashes" ist aber unnötig, wenn der Provider die magic_quotes aktiviert hat - dann wird dies nämlich automatisch gemacht. Davon sollte man aber niemals einfach so ausgehen

[Stuck Mojo]

Original geschrieben von Longfang
is mir eine sql-reform entgangen?

PHP-Code:

INSERT INTO tabelle SET text = 


...denke schon... http://www.mysql.com/doc/en/INSERT.html (das 3te Syntax-Besipiel?)

[mike]

habs selber grad probiert.

kaum zu glauben. bitte bitte sag, dass das mysql spezifisch ist!

denn soweit ich mich entsinnen kann, ist die ansi konforme ausgabe eines insert, der mit 'values'.

entschuldige, dass ich an dir gezweifelt hab

scheinbar arbeite ich zu viel am ms-sql. (bei dem gehts übrigends NICHT)

lf

[Stuck Mojo]

...ähm... ob das ansi-konform ist weiß ich um ehrlich zu sein nicht. Aber das ist für bestimmte Querys oder Scripe ein super Vorteil... Du packst deine Varis in ein Hashtable lässt einmal ne' Schleife drüberlaufen und dein Query ist fast komplett.

Ich hab das aber selber auch eher durch Zufall mitbekommen... habs einfach mal gemacht... und siehe da es hat geklappt

...ich zweifle übrigends auch oft an mir
Gruss Jan

[Boris]

Original geschrieben von Stuck Mojo
...ähm... ob das ansi-konform ist weiß ich um ehrlich zu sein nicht. Aber das ist für bestimmte Querys oder Scripe ein super Vorteil... Du packst deine Varis in ein Hashtable lässt einmal ne' Schleife drüberlaufen und dein Query ist fast komplett.

Ich hab das aber selber auch eher durch Zufall mitbekommen... habs einfach mal gemacht... und siehe da es hat geklappt

...ich zweifle übrigends auch oft an mir
Gruss Jan

Hey, das würde mir auch helfen. Ich hab da ein Formular mit 80 (!) Feldern, die alle in eine Tabelle reingeschrieben werden müssen ... die entsprechende Query zu basteln ist sehr zeitaufwändig ... nehmen wir mal an, die Formularfelder entsprechen den Feldern in der Datenbank, wie muss eine eintsprechende Schleife aussehen, um eine Query "generieren" zu lassen?

[Stuck Mojo]

benenne deine Felder erstmal als Array um... so sparst du dir die konvertierung in PHP. z.B. so:

<input type="text" name="deinarray[elementname]" size="20">

Auf der folgenden Seite machst du dann folgendes (weiß es jetzt nur mit register globals auf off:

PHP-Code:

foreach($deinarray AS $key => $val) {
  $tmpsql .= "$key = '$val',";
}
$tmpsql = substr($tmpsql,0,strlen($tmpsql)-1);

mysql_query("UPDATE tabelle SET $tmpsql"); 


...das sollte es gewesen sein... aber wie gesagt... register globals = off...

Gruss Jan

[Boris]

Meinst Du nicht eher register_globals auf ON?

Deine Version wird nicht gehen, wenn sie OFF sind ... es müsste dann doch so (oder ähnlich) aussehen:

foreach($_POST AS $key => $val) {
$tmpsql .= "$key = '$val',";
}

Oder? Ich arbeite ausschliesslich mit register_globals=off, sprich: ohne globale Variablen (alles ganz brav mit $_POST,. $_GET, $_SESSION usw).

[Stuck Mojo]

ähm.. ja klar... register globals = on

das müsste dann bei dir irgendwie so aussehen:

PHP-Code:

foreach($_POST[deinarray] AS $key => $val) {
$tmpsql .= "$key = '$val',";
} 


[Boris]

Jo, habs getestet und es funktioniert wunderbar soweit ... es hat aber einen kleinen Nachteil - die Daten können nicht weiter "manipuliert" werden.

Beispiel: wenn ich drei Felder habe für ein Geburtsdatum, und ich es nach dem Submit kombinieren und in ein Feld schreiben will, könnte ich das mit dieser "automatischen" Variante vergessen.

Nun, danke dennoch - diese Schleife ist recht nützlich

[Stuck Mojo]

Du kannst doch deine Felder vor der Schleife bearbeiten... bzw das Array manipulieren... und dann die Schleife fahren...

[Boris]

Jo, könnte ich ...