Witam, mam funkcję dodającą wcześniej pobrane dane do bazy danych (tzn. chcę aby ta funkcja to robiła) jednak mam problem z zapytaniem pdo..

wywala błąd:

[XML] pobierz, plaintext 
Fatal error: Call to a member function exec() on a non-object in rb.class.php on line 40
[XML] pobierz, plaintext 

i kod funkcji:

[PHP] pobierz, plaintext 
		public function check() {
		  include("language/pl.php");
			if (!empty($_POST['spr'])) {
			if ((!empty($_POST['imie'])) && (!empty($_POST['nazwisko'])) && (!empty($_POST['email'])) && (!empty($_POST['haslo']) && (!empty($_POST['miejscowosc'])))) {
 
			 $this->insert = $this->pdo -> exec('INSERT INTO `users` (`imie`, `nazwisko`, `ulica`, `miejscowosc`, `mail`, `haslo`) VALUES(
				\''.$this->imie.'\',
				\''.$this->nazwisko.'\',
				\''.$this->ulica.'\',
				\''.$this->miejscowosc.'\',
				\''.$this->mail.'\',
				\''.$this->haslo.'\')');
 
			if ($this->insert>0) {
				$this->statement=$lang[0];
			} else { $this->statement=$lang[1]; }
			} else { $this->stmt=$lang[2]; }
			}
			return $this->stmt;
		}
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
$this->pdo
[PHP] pobierz, plaintext 

Co to jest? Skąd bierzesz ten obiekt? Poza tym twój kod niewiele się różni od zwykłego wywołania mysql_query. Poczytaj http://www.php.net/manual/en/pdostatement.bindparam.php

nie chciałem wrzucać kodu całej klasy, no ale musze..

[PHP] pobierz, plaintext 
 
<?php
 
 
class Connect {
	private $pdo;
	public $stmt;
 
		public function polacz() {
			try {
				$this->pdo = new PDO('mysql:host=localhost;dbname=x', 'x', 'x');
				$this->pdo -> setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
				} catch(PDOException $e){
				echo 'Połączenie nie mogło zostać utworzone.<br />';
				}
		}
 }
 
 
 
 class Register extends Connect {
	public $stmt;
 
	public $imie,$nazwisko,$ulica,$miejscowsc,$mail,$haslo;
 
		public function add() {
			$this->imie = $_POST['imie'];
			$this->nazwisko = $_POST['nazwisko'];
			$this->ulica = $_POST['ulica'];
			$this->miejscowosc = $_POST['miejscowosc'];
			$this->mail = $_POST['mail'];
			$this->haslo = md5($_POST['haslo']);
		}
 
		public function check() {
		  include("language/pl.php");
			if (!empty($_POST['spr'])) {
			if ((!empty($_POST['imie'])) && (!empty($_POST['nazwisko'])) && (!empty($_POST['email'])) && (!empty($_POST['haslo']) && (!empty($_POST['miejscowosc'])))) {
 
			 $this->insert = $this->pdo -> exec('INSERT INTO `users` (`imie`, `nazwisko`, `ulica`, `miejscowosc`, `mail`, `haslo`) VALUES(
				\''.$this->imie.'\',
				\''.$this->nazwisko.'\',
				\''.$this->ulica.'\',
				\''.$this->miejscowosc.'\',
				\''.$this->mail.'\',
				\''.$this->haslo.'\')');
 
			if ($this->insert>0) {
				$this->statement=$lang[0];
			} else { $this->statement=$lang[1]; }
			} else { $this->stmt=$lang[2]; }
			}
			return $this->stmt;
		}
}
 
 
 
?>
 
[PHP] pobierz, plaintext 

stąd pdo..

Do poczytania w takim razie http://php.net/manual/en/language.oop5.visibility.php
Jaki jest w Twoim kodzie zasięg private $pdo?

Aaa. I to co robisz daje możliwość SQL Injection.

A zapytaniem do bazy sugerowałem się stąd: http://pl.wikibooks.org/wiki/PHP/Biblioteka_PDO możecie mnie naprowadzić jakoś jak mam to rozwiązać?


@@ zmieniony już typ zmiennej na public i nadal ten sam błąd..

zmieniłem trochę kod i teraz mi śmiga wszystko, powiedz jeszcze dlaczego kod jest podatny na sql injection ?

[PHP] pobierz, plaintext 
<?php
 
 
class Klasa {
	public $pdo;
	public $stmt;
	public $imie,$nazwisko,$ulica,$miejscowsc,$mail,$haslo;
		public function __construct() {
			try {
				$this->pdo = new PDO('mysql:host=localhost;dbname=x', 'x', 'x');
				$this->pdo -> setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
				} catch(PDOException $e){
				echo 'Połączenie nie mogło zostać utworzone.<br />';
				}
		}
 
 
 
		public function add() {
 
			$this->imie = $_POST['imie'];
			$this->nazwisko = $_POST['nazwisko'];
			$this->ulica = $_POST['ulica'];
			$this->miejscowosc = $_POST['miejscowosc'];
			$this->mail = $_POST['mail'];
			$this->haslo = md5($_POST['haslo']);
		}
 
		public function check() {
		  include("language/pl.php");
			if (!empty($_POST['spr'])) {
			if ((!empty($_POST['imie'])) && (!empty($_POST['nazwisko'])) && (!empty($_POST['email'])) && (!empty($_POST['haslo']) && (!empty($_POST['miejscowosc'])))) {
 
			 $this->insert = $this->pdo -> exec('INSERT INTO `users` (`imie`, `nazwisko`, `ulica`, `miejscowosc`, `mail`, `haslo`) VALUES(
				\''.$this->imie.'\',
				\''.$this->nazwisko.'\',
				\''.$this->ulica.'\',
				\''.$this->miejscowosc.'\',
				\''.$this->mail.'\',
				\''.$this->haslo.'\')');
 
			if ($this->insert>0) {
				$this->statement=$lang[0];
			} else { $this->statement=$lang[1]; }
			} else { $this->stmt=$lang[2]; }
			}
			return $this->stmt;
		}
}
 
 
 
?>
 
 
[PHP] pobierz, plaintext 

To jeszcze pytanie czy wywołujesz gdzieś polacz()?

Możesz zrobić coś na kształt

[PHP] pobierz, plaintext 
class Connect {
...
private $pdo;
 
public getConnection() {
  if (null === $this->pdo) {
    $this->polacz();
  }
  return $this->pdo;
}
}
[PHP] pobierz, plaintext 

I później $this->getConnection()->...
Jak zabezpieczyć podałem w pierwszym poście.

----
Podatny jest dlatego że podstawiasz dane z _POST, w żaden sposób niefiltrowane, bezpośrednio do zapytania. W tym kursie wikibooks niby pokazują niżej poprawne przykłady ale za takie nauczanie powinni klawiaturę zabierać.

Miras,

chyba pisałem Ci już w osobnym poscie. Korzystasz z PDO, ale jako tylko proxy do plainowych zapytań SQL, to nie jest najlepsze rozwiązanie, a w przypadku INSERTów niesamowicie podatne na SQL injection. Chyba znalazłem przykład, z którego skorzystałeś i kilka linijek niżej jest lepszy :

[PHP] pobierz, plaintext 
$stmt = $pdo -> prepare('INSERT INTO `produkty` (`nazwa`, `opis`, `ilosc`, `cena`, `jakosc`)    VALUES(
                                :nazwa,
                                :opis,
                                :ilosc,
                                :cena,
                                :jakosc)');     // 1
 
                        $stmt -> bindValue(':nazwa', $_POST['nazwa'], PDO::PARAM_STR); // 2
                        $stmt -> bindValue(':opis', $_POST['opis'], PDO::PARAM_STR);
                        $stmt -> bindValue(':ilosc', $_POST['ilosc'], PDO::PARAM_INT);
                        $stmt -> bindValue(':cena', (float)$_POST['cena'], PDO::PARAM_STR);
                        $stmt -> bindValue(':jakosc', $_POST['jakosc'], PDO::PARAM_INT);
[PHP] pobierz, plaintext 

Bindowanie pozwala bardzo ładnie zachować bezpieczeństwo w tym wypadku.
Polecam wrzucić kod na githuba. Będzie łatwiej komentować.

Zapraszam też do głosowania na agendę http://www.phpcon.pl/2013/pl/agenda.

Piotr Pasich