解決した場合は１０００ポイント贈呈します。
http://ryu669.sakura.ne.jp/qes1
上記ＵＲＬのｈｔｍｌファイルのソースにtest1.htmlとtest2.phpがあります。
このtest1.htmlとtest2.phpをサーバーにアップしデータベースにnameとcomment、日時の登録をしようとしますが、日時は入りますが、nemeとcommentが登録
されません。文字化けも考慮して入力は半角英数で行いました。
nameはvarchar(40) , commentはtext 日時はtimestampのデータ型です。
作成ＰＨＰのバージョンはＰＨＰ４、データベースはPostgresql8.1, PHP5.3です。
文字コードはPostgresqlはＵＴＦ－８、ＰＨＰ、ｈｔｍｌファイルはＵＴＦ－８にしました。携帯電話でも入力可能にしたいです。
今回データ表示用のｐｈｐファイルは省いてあります。確認はデータベースを直接見て確認しています。原因わかる方お願いします。
ベストアンサー
-
y-kawaz
満足500pt
質問者の元のコードは register_globals=On を前提としたコードですね。
register_globalsはセキュリティ上問題がある為、PHP5.3からデフォルトでOffになり、更にPHP5.4では設定項目自体が無くなって今後利用できなくなる機能です。
http://www.php.net/manual/ja/ini.core.php#ini.register-globals
対応方法は Cherenkov さんの回答にある通り、$_POSTや$_GETや$_REQUESTから取得することです。
あと、それ以外にもう1点。セキュリティ上の問題があります。外部からの入力をそのままSQLに使ってしまっている為、SQLインジェクションが出来てしまいます。
例えば comment=',now());delete from bbs_01;-- というリクエストが投げられると全てのデータが消されてしまいます。
正しい対応はプレースホルダを使うことです。以下がプレースホルダを使ったサンプルです。<?php //前略 $rs = pg_query_params( $db_con, "insert into bbs_01 (name, comment, w_time) values ($1, $2, $3)", array($_REQUEST['name'], $_REQUEST['comment'], date("Y/m/d h:i:s")) );
外部からの入力データ中をそのままSQLに使うのは論外ですが、データ中のシングルクオート等を自力でエスケープするようなことも正しく行うのも難しいのでやめてください、SQLにデータを渡すときは必ずプレースホルダを使うことを憶えて下さい。
pg_connectではなく今後PDO等を使うことがあるかもしれません。SQLを直接実行する仕組みには必ず、プレースホルダの利用法があるはずなので、調べて探してでも必ずプレースホルダを使うようにして下さい。これはPHPに限った話ではありません。 -
lonly777その他の回答
-
Cherenkov
満足500pt
<html> <head> <title>insert</title> </head> <body bgcolor="#ffffff" text="#555555"> <?php $db_con = pg_connect("dbname=bbs1 port=5432 host=localhost user= password= "); if ($db_con == false){ print("接続できませんでした。"); exit; } $name = pg_escape_string($_POST['name']); //追加 $comment = pg_escape_string($_POST['comment']); //追加 $sql = "insert into bbs_01 (name, comment, w_time) values ('$name', '$comment', '".date("Y/m/d h:i:s")."')"; //sql文を$sqlにセット $rs = pg_exec($db_con, $sql); //$sqlの実行結果を$rsにセット if ($rs == false){ print("実行に失敗しました。"); exit; } print("<tt>書き込みを入力しました。</tt>"); pg_freeresult($rs); pg_close($db_con); ?> </body> </html>
-
- その他の回答を読む
y-kawaz
この質問へのコメント
質問の情報
- 登録日時
- 2012-06-01 17:31:10
- 終了日時
- 2012-06-05 10:37:34
- 回答条件
- 1人5回まで
この質問のカテゴリ
この質問に含まれるキーワード
人気の質問
-
この英文どうなってますか？ The boy seemed to be waiting for his mother to come.（その少年は母親が来…
匿名質問者
1
1
-
不定詞の形容詞的用法らしいんですけど、副詞的用法と書いたら✖️ですか？ I want to buy a book to read …匿名質問者11
-
日向陽葵という○V女優が好きなのですが似ている○V女優はいますか匿名質問者
-
共通テストで使われるプログラミング言語は共通テスト特有の言語と聞いたのですが、受験勉強で身につけたプ…匿名質問者1
-
内定してほしいポケモンはいますか？匿名質問者
register_globalsの設定見てみなって
マジで
すぐ解決する気がするよ