Forum PHP.pl > [PHP + MYSQL] Usuwanie rekordów i kolumn

Pomoc - Szukaj - Użytkownicy - Kalendarz

Pełna wersja: [PHP + MYSQL] Usuwanie rekordów i kolumn

topcio

14.01.2017, 21:58:13

Witam Ponownie

Mam jeszcze jeden problem.
Nie wiem jak powinienem prawidłowo zapisać co poniżej.
Chciałbym usuwać z bazy konkretny rekord i konkretną kolumnę jednak usuwa mi zawsze ostatnią.
Wiem że problem leży w $SESSION bo zawsze ma w pamięci ostatnią wartość, ale nie potrafię napisać tego inaczej.

[PHP] pobierz, plaintext 
  case 'lista_kamere' :
  // sprawdzamy czy użytkownik jest zalogowany
  if($users->is_logged()) {
  echo "<table><tr><p><h3>Lista Kamer</h3></p></tr><tr>";
        $rezultat = mysqli_query($sql_monitoring, "SELECT $db_table_kamery.$db_row_kam_number, $db_table_kamery.$db_row_kam_name, $db_table_spec.$db_row_kam_model, $db_table_kamery.$db_row_kam_serial, $db_table_spec.$db_row_kam_resolution, $db_table_spec.$db_row_kam_type FROM $db_table_kamery, $db_table_spec WHERE $db_table_kamery.$db_row_kam_spec = $db_table_spec.$db_row_kam_id ORDER BY $db_row_kam_name" );
        $ile = mysqli_num_rows($rezultat);
        if ($ile>=1) {
  echo "<td width=\"100\" align=\"center\" bgcolor=\"e5e5e5\">Nazwa</td>";
  echo "<td width=\"150\" align=\"center\" bgcolor=\"e5e5e5\">Model</td>";
  echo "<td width=\"80\" align=\"center\" bgcolor=\"e5e5e5\">Numer Seryjny</td>";
  echo "<td width=\"80\" align=\"center\" bgcolor=\"e5e5e5\">Rozdzielczosc</td>";
  echo "<td width=\"100\" align=\"center\" bgcolor=\"e5e5e5\">Typ Kamery</td>";
  echo "<td width=\"20\" align=\"center\" bgcolor=\"e5e5e5\">Usuń Kamerę</td>";
  echo "</tr>";
        for ($i = 1; $i <= $ile; $i++) {
  echo "<tr>";
 
        $row = mysqli_fetch_array($rezultat);
        $Usun_Kamere = $row[$db_row_kam_number];
        $_SESSION['Usun_Kamere_ID'] = $Usun_Kamere;
        $Nazwa = $row[$db_row_kam_name];
        $_SESSION['Usun_Kamere_Name'] = $Nazwa;
        $Model = $row[$db_row_kam_model];
        $Numer_Seryjny = $row[$db_row_kam_serial];
        $Rozdzielczosc = $row[$db_row_kam_resolution];
        $Typ_Kamery = $row[$db_row_kam_type];
  echo "<td width=\"100\" align=\"center\" bgcolor=\"aaaaaa\"><a href=" . $Nazwa . ".php><font color=green>$Nazwa</font></a></td>";
  echo "<td width=\"150\" align=\"center\" bgcolor=\"aaaaaa\">" . $Model . "</td>";
  echo "<td width=\"80\" align=\"center\" bgcolor=\"aaaaaa\">" . $Numer_Seryjny . "</td>";
  echo "<td width=\"80\" align=\"center\" bgcolor=\"aaaaaa\">" . $Rozdzielczosc . "</td>";
  echo "<td width=\"100\" align=\"center\" bgcolor=\"aaaaaa\">" . $Typ_Kamery . "</td>";
  echo "<td width=\"20\" align=\"center\" bgcolor=\"aaaaaa\">" .  $_SESSION['Usun_Kamere_ID'] ;
 
  echo "<form action=index.php?action=usun_kamere method=post>";
  echo "<input type='submit' class='btn-block' value='Usuń Kamerę'></form</td>";
 
  echo "</tr>";
        }}
  echo "</table>";
 
 
 
 
 
  echo "<a href=\"index.php?action=login\">Powrót</a>";
  echo "<br>";
 
} else {
echo '<p>Musisz być zalogowany aby przeglądać tę stronę.</p>';
echo '<p><a href="?action=login">Zaloguj się ponownie</a></p>';
}
 
  break;
 
  case 'usun_kamere':
  		if($users->is_logged()) {
 
        $Usun_Kamere_ID = $_SESSION['Usun_Kamere_ID'];
        $rezultat = mysqli_query($sql_monitoring, "DELETE FROM $db_table_kamery WHERE $db_row_kam_number = $Usun_Kamere_ID" );
      	unset($_SESSION['Usun_Kamere_ID']);
        $Usun_Kamere_Name = $_SESSION['Usun_Kamere_Name'];
        $rezultat = mysqli_query($sql_monitoring, "ALTER TABLE $db_table_user DROP COLUMN $Usun_Kamere_Name" );
      	unset($_SESSION['Usun_Kamere_Name']);
 
  		header("Location: ?action=lista_kamere");
      }
  break;
 
[PHP] pobierz, plaintext

trueblue

14.01.2017, 22:02:56

Usuwa ostatni, bo w pętli wciąż nadpisujesz zmienną sesyjną (więc ta przyjmuje ostatnią wartość id).
Zamiast tego formularza wstaw tam link index.php?action=usun_kamere&id=id_kamery (zmienne będą w $_GET nie $_POST).

topcio

14.01.2017, 22:35:41

Wielkie dzięki.
Działa

Dla potomnych poprawiony kod

[PHP] pobierz, plaintext 
case 'lista_kamere' :
  // sprawdzamy czy użytkownik jest zalogowany
  if($users->is_logged()) {
  echo "<table><tr><p><h3>Lista Kamer</h3></p></tr><tr>";
        $rezultat = mysqli_query($sql_monitoring, "SELECT $db_table_kamery.$db_row_kam_number, $db_table_kamery.$db_row_kam_name, $db_table_spec.$db_row_kam_model, $db_table_kamery.$db_row_kam_serial, $db_table_spec.$db_row_kam_resolution, $db_table_spec.$db_row_kam_type FROM $db_table_kamery, $db_table_spec WHERE $db_table_kamery.$db_row_kam_spec = $db_table_spec.$db_row_kam_id ORDER BY $db_row_kam_name" );
        $ile = mysqli_num_rows($rezultat);
        if ($ile>=1) {
  echo "<td width=\"100\" align=\"center\" bgcolor=\"e5e5e5\">Nazwa</td>";
  echo "<td width=\"150\" align=\"center\" bgcolor=\"e5e5e5\">Model</td>";
  echo "<td width=\"80\" align=\"center\" bgcolor=\"e5e5e5\">Numer Seryjny</td>";
  echo "<td width=\"80\" align=\"center\" bgcolor=\"e5e5e5\">Rozdzielczosc</td>";
  echo "<td width=\"100\" align=\"center\" bgcolor=\"e5e5e5\">Typ Kamery</td>";
  echo "<td width=\"20\" align=\"center\" bgcolor=\"e5e5e5\">Usuń Kamerę</td>";
  echo "</tr>";
        for ($i = 1; $i <= $ile; $i++) {
  echo "<tr>";
 
        $row = mysqli_fetch_array($rezultat);
        $Usun_Kamere = $row[$db_row_kam_number];
        $Nazwa = $row[$db_row_kam_name];
        $Model = $row[$db_row_kam_model];
        $Numer_Seryjny = $row[$db_row_kam_serial];
        $Rozdzielczosc = $row[$db_row_kam_resolution];
        $Typ_Kamery = $row[$db_row_kam_type];
  echo "<td width=\"100\" align=\"center\" bgcolor=\"aaaaaa\"><a href=" . $Nazwa . ".php><font color=green>$Nazwa</font></a></td>";
  echo "<td width=\"150\" align=\"center\" bgcolor=\"aaaaaa\">" . $Model . "</td>";
  echo "<td width=\"80\" align=\"center\" bgcolor=\"aaaaaa\">" . $Numer_Seryjny . "</td>";
  echo "<td width=\"80\" align=\"center\" bgcolor=\"aaaaaa\">" . $Rozdzielczosc . "</td>";
  echo "<td width=\"100\" align=\"center\" bgcolor=\"aaaaaa\">" . $Typ_Kamery . "</td>";
  echo "<td width=\"20\" align=\"center\" bgcolor=\"aaaaaa\">" .  $Usun_Kamere ;
  echo "<a href=index.php?action=usun_kamere&kam_id=" . $Usun_Kamere . "&kam_name=" . $Nazwa . "><font color=green>Usuń Kamerę</font></a></td>";
  echo "</tr>";
        }}
  echo "</table>";
  echo "<a href=\"index.php?action=login\">Powrót</a>";
  echo "<br>";
 
} else {
echo '<p>Musisz być zalogowany aby przeglądać tę stronę.</p>';
echo '<p><a href="?action=login">Zaloguj się ponownie</a></p>';
}
 
  break;
 
  case 'usun_kamere':
  		if($users->is_logged()) {
        $Usun_Kamere_ID = $_GET['kam_id'];
        $rezultat = mysqli_query($sql_monitoring, "DELETE FROM $db_table_kamery WHERE $db_row_kam_number = $Usun_Kamere_ID" );
      	$Usun_Kamere_Name = $_GET['kam_name'];
        $rezultat = mysqli_query($sql_monitoring, "ALTER TABLE $db_table_user DROP COLUMN $Usun_Kamere_Name" );
  		header("Location: ?action=lista_kamere");
      }
  break;
 
[PHP] pobierz, plaintext

viking

15.01.2017, 07:34:13

Jesteś narażony na ataki SQL injection przy tym kodzie. I raczej nie powinno być sytuacji że dropujesz kolumnę. Masz raczej coś nie tak z logiką tej aplikacji.

topcio

15.01.2017, 11:20:32

Logika jest OK.
Przy dodawaniu kamery dodaję kolumnę w bazie użytkowników, którym z góry nie daje uprawnień.
Przy usuwaniu kamery usuwam również zbędną już kolumną dotyczącą danej kamery.

To jest tymczasowe nie mogłem sobie poradzić z osiągnięciem celu, więc by nie wertować między plikami pisałem wszystko w jednym.
Docelowo mam klasy użytkowników i będzie to podpięte pod klasę, która zapobiega takim atakom.

kod tej klasy

[PHP] pobierz, plaintext 
<?php
 
class Sql extends mysqli {
 
	/**
	 * Filtruje zmienną
	 * @param mixed $var
	 * @return mixed
	 */
	public function clear($var) {
		// jeśli nasza zmienna to tablica to używamy funkcji clear na każdym elemencie
		if(is_array($var)) {
			return array_map(array($this, 'clear'), $var);
		}
 
		// jeśli jest ustawiona opcja magic_quotes to usuwamy backslashe
		if(get_magic_quotes_gpc()) {
			$var = stripslashes($var);
		}
 
		// filtrujemy znaki specjalne takie jak apostrof i cudzysłów
		$var = $this->real_escape_string($var);
 
		// usuwamy białe znaki na początku i końcu zmiennej
		$var = trim($var);
 
		// zamieniamy znaki specjalne html na encje
		$var = htmlspecialchars($var);
 
		return $var;
	}
 
}
 
?>
[PHP] pobierz, plaintext

Popraw mnie jeśli się mylę, ale powinno być wówczas OK.
Jestem początkujący, dopiero się uczę, mam nadzieję, że szybko i każdy komentarz jest mile widziany

viking

15.01.2017, 11:27:11

Nie jest ok bo po pierwsze http://php.net/manual/en/security.magicquotes.php. po drugie żeby quotwanie działało musi być prawidłowo encoding. A od takich rzeczy masz prepare bez żadnego rozszerzania kodem sprzed10 lat.

topcio

15.01.2017, 11:33:32

No to mnie załamałeś, bo 2 miesiące pisania całego kodu w tył.

viking

15.01.2017, 11:57:40

Czegoś się chociaż nauczysz

I nie zdawaj się na taką dowolność. htmlspecialchars przy takim użyciu będzie dawał losowe rezultaty na różnych wersjach PHP:

Cytat

If omitted, the default value of the encoding varies depending on the PHP version in use. In PHP 5.6 and later, the default_charset configuration option is used as the default value. PHP 5.4 and 5.5 will use UTF-8 as the default. Earlier versions of PHP use ISO-8859-1.

topcio

15.01.2017, 12:05:05

Czy to oznacza, tak na szybko czytając, że cały kod powinienem przerobić na wersję PDO

Czy nie do końca rozumiem i mieszam pojęcia.

viking

15.01.2017, 12:14:10

Znaczy to, że w zależności od wersji php jest zupełnie inna wartość encoding. Domyślnie jest też html4.01.
Nie powinieneś też modyfikować danych oryginalnych bo później będziesz miał problem przy modyfikacjach. Powinny być zabezpieczone podczas wyświetlania - XSS.

topcio

15.01.2017, 12:29:55

Moja wersja PHP
Wersja PHP: 5.6.29-pl0-gentoo
a kodowanie php utf-8

Kodowanie znaków serwera: UTF-8 Unicode (utf8)

charset strony również ustawiony na utf-8

viking

15.01.2017, 12:50:19

Tu nie chodzi o to, jaką masz wersję obecnie. Tylko że ty jako programista musisz pisać kod tak, żeby nie był podatny na losowosc.

topcio

15.01.2017, 14:29:27

Testowo wykonałem podczas logowania do strony zamiast user name, oraz już po zalogowaniu we wszystkich dostępnych formularzach

[SQL] pobierz, plaintext 
'; ALTER TABLE users DROP COLUMN testowa; --
[SQL] pobierz, plaintext

Nie usunęło.

Znalazłem za to błąd, którego nie umiem ominąć.

W tej linii

[PHP] pobierz, plaintext 
  echo "<a href=index.php?action=usun_kamere&kam_id=" . $Usun_Kamere . "&kam_name=" . $Nazwa . "><font color=green>Usuń Kamerę</font></a></td>";
[PHP] pobierz, plaintext

Wszystko jest OK, dopóki w nazwie nie ma spacji, jeśli natomiast dodam kamerę "Kamera 1", link generuje się tylko jako "Kamera"
Co można z tym zrobić?

Ok już sobie poradziłem funkcją str_replace

viking

16.01.2017, 08:19:58

Zawsze tworząc urle powinieneś używać http://php.net/manual/en/function.urlencode.php

A teraz w swoim zapytaniu podstaw w urlu pod kam_id=1 or 1=1 (nie rób tego na produkcji). Skasuje ci wszystkie rekordy w tabeli.

topcio

16.01.2017, 21:35:16

Po wpisaniu
index.php?action=usun_kamere_action&kam_id=1 or 1=1
Nic się nie dzieje z tablicami poza tym, że usunęło kam_id=1

To jest wersja lo-fi głównej zawartości. Aby zobaczyć pełną wersję z większą zawartością, obrazkami i formatowaniem proszę kliknij tutaj.