Feedback/optimering av flerfunktionellt php script

2014-03-16 16:14

Permalänk

anon186159

Inaktiv

Registrerad: Dec 2011

●

Feedback/optimering av flerfunktionellt php script

Hej!

Jag håller på och skriver en myntdatabas (för folk som samlar på mynt). Jag är ganska ny inom php och tänkte höra om någon här kunde ge lite feedback.

Vad mitt "problem" är att jag skapar POST-data och sedan behandlar det med en ny php fil. Detta har lett min smått avancerade sida att få väldigt många filer.

Jag har prövat att lösa detta med att skapa en hidden input och ange ett värde till 1 och sedan behandlar samma fil som kollar i början om denna är på. Annars skriver den ut en stanard sida.

Är detta en bra lösning eller finns det smartare, bättre lösningar? Blir långa filer om jag skuller implentera detta på hela sidan.

<?php
include("include/classes/session.php");
if (!$session->logged_in) {header('Location: main.php');}
//Hämta huvud
 include 'includes/head.php'; 
?>
<?php
$remove = (int)$_POST["remove"];
$removeit = (int)$_POST["removeit"];
$update = (int)$_POST["update"];

if ($removeit == 1){
	include 'db_connect.php'; 
	$id = (int)$_GET['id'];
	if (id == '') {echo "FEL: Inget värde angett"; die();}
	else {
	$result = mysql_query("DELETE FROM coin_bases WHERE id='$id'");
	}
	$removeit = 0;
echo "Myntet är nu raderat från databasen"; 
mysql_close();
include 'includes/end.php'; 
die();
}

if ($update = 1) {
 //MySQL Database Connect
 include 'db_connect.php'; 

    $id = (int)$_POST["id"];

    $A_ID = mysql_real_escape_string($_POST["A_ID"]);
    $rowd = mysql_real_escape_string($_POST["row"]);
    $year = mysql_real_escape_string($_POST["year"]);
    $quality = mysql_real_escape_string($_POST["quality"]);
	$value = mysql_real_escape_string($_POST["value"]);
    $type= mysql_real_escape_string($_POST["type"]);
	$country= mysql_real_escape_string($_POST["country"]);
	$notes= mysql_real_escape_string($_POST["notes"]);
		  
	if ($country == '---') {    echo "<script type='text/javascript'>alert('FEL: Du måste välja ett land');</script>"; 
echo "<script language=\"JavaScript\">";
$update = 0;
echo "self.location=\"edit.php?id=". $id . "\";
</script>"; die();}

    $query="UPDATE coin_bases
            SET A_ID = '$A_ID', row = '$rowd', year = '$year', quality = '$quality', value = '$value', type = '$type', country = '$country', notes = '$notes' WHERE ID='$id'";


mysql_query($query)or die(mysql_error());
mysql_close();
}
if ($remove == 1) {
	 include 'db_connect.php'; 
$id = (int)$_GET['id'];
$query = mysql_query("SELECT * FROM coin_bases WHERE id = '$id'") or die(mysql_error());
if(mysql_num_rows($query)>=1){
    while($row = mysql_fetch_array($query)) {
$A_ID=$row['A_ID'];
$rowd=$row['row'];
$year=$row['year'];
$quality=$row['quality'];
$value=$row['value'];
$type=$row['type'];
$country=$row['country'];
$notes=$row['notes'];
    }
?>
<table width="400" border="0" class="CSSTableGenerator1">
<tr>
<td> </td>
<td> </td>
</tr>  
<tr>
    <td>*Ark-ID:</td>
    <td><input name="A_ID" type="text" maxlength="5" value="<?=$A_ID;?>" disabled="disabled" /></td>
  </tr>
  <tr>
    <td>*Rad:</td>
    <td><input name="row" type="text" maxlength="3" value="<?=$rowd?>" disabled="disabled" /></td>
  </tr>
  <tr>
    <td>*År:</td>
    <td><input name="year" type="text" maxlength="4" value="<?=$year?>" disabled="disabled" /></td>
  </tr>
  <tr>
    <td>*Kvalité:</td>
    <td><input name="quality" type="text" maxlength="2" value="<?=$quality?>" disabled="disabled" /></td>
  </tr>
  <tr>
    <td>*Värde:</td>
    <td><input type="text" name="value" value="<?=$value?>" disabled="disabled" /></td>
  </tr>
  <tr>
    <td>*Valör:</td>
    <td><input type="text" name="type"  value="<?=$type?>" disabled="disabled"/></td>
  </tr>
  <tr>
  <td>*Land:</td>
  <td><?=$country?></td>
  </tr>
  <tr>
    <td>Notering:</td>
    <td><input type=" name="notes" value="<?=$notes?>" disabled="disabled" /></td>
  </tr>
  <tr>
    <td>
<b>Ändring kan inte ångras.<br />Är du säker?</b> <br />
<form action="edit.php?id=<?=$id?>" method="post">
<input type="hidden" value="1" name ="removeit">
<input type="submit" value="Ja, jag förstår" /></form>

<form action="edit.php?id=<?=$id?>" method="post">
<input type="submit" value="Nej, ta mig härifrån" /></form></td>
    <td> </td>
  </tr>
</table>
<?php
}else{
    echo "Något gick fel"; 
}

	}
//Om varken update eller remove är markerat
else {

 //MySQL Database Connect
 include 'db_connect.php'; 

$id = (int)$_GET['id'];
$query = mysql_query("SELECT * FROM coin_bases WHERE id = '$id'") or die(mysql_error());

if(mysql_num_rows($query)>=1){
    while($row = mysql_fetch_array($query)) {
$A_ID=$row['A_ID'];
$rowd=$row['row'];
$year=$row['year'];
$quality=$row['quality'];
$value=$row['value'];
$type=$row['type'];
$country=$row['country'];
$notes=$row['notes'];
    }
?>

<form action="edit.php?id=<?=$id;?>" method="post">
<input type="hidden" name="update" value="1" />
<input type="hidden" name="id" value="<?=$id;?>" />
<table width="400" border="0" class="CSSTableGenerator1">
<tr>
<td> </td>
<td> </td>
</tr>
<tr>
    <td>*Ark-ID:</td>
    <td><input name="A_ID" type="text" maxlength="5" value="<?=$A_ID;?>" /></td>
  </tr>
  <tr>
    <td>*Rad:</td>
    <td><input name="row" type="text" maxlength="3" value="<?=$rowd?>" /></td>
  </tr>
  <tr>
    <td>*År:</td>
    <td><input name="year" type="text" maxlength="4" value="<?=$year?>" /></td>
  </tr>
  <tr>
    <td>*Kvalité:</td>
    <td><input name="quality" type="text" maxlength="2" value="<?=$quality?>" /></td>
  </tr>
  <tr>
    <td>*Värde:</td>
    <td><input type="text" name="value" value="<?=$value?>" /></td>
  </tr>
  <tr>
    <td>*Valör:</td>
    <td><input type="text" name="type"  value="<?=$type?>"/></td>
  </tr>
  <tr>
  <td>*Land:</td>
  <td><?php
include 'db_connect.php'; 

$query="SELECT sa FROM sa ORDER BY sa"; 
$result = mysql_query($query); 

echo "<select name=\"country\">";
echo "<option value=\"Sverige\">Sverige</option>\r\n";
echo "<option value=\"---\">---</option>\r\n"; 
// Lets loop through the result: 
while($row = mysql_fetch_object($result)) { 
  echo "<option value=\"$row->sa\" ";
  if ($country == $row->sa){
  echo "selected=\"selected\">";
  }
  else {echo ">";}
  echo "$row->sa</option>\r\n"; 
} 
echo "</select>"; 
?></td>
  </tr>
  <tr>
    <td>Notering:</td>
    <td><input type="text" name="notes" value="<?=$notes?>" /></td>
  </tr>
  <tr>
    <td>
<input type="submit" value="Genomför ändring"></form> 

<form action="edit.php?id=<?=$id?>" method="post">
<input type="hidden" value="1" name="remove" />
<input type="submit" value="Ta bort"></form>

</td>
    <td> </td>
  </tr>
</table>

<?php
}else{
    echo "<script type='text/javascript'>alert('ID existerar inte i databasen');</script>"; 
echo "<script language=\"JavaScript\">
self.location=\"insert.php\";
</script>";
}
mysql_close();
?>
<?php
}
//Skriv ut slutdesign
 include 'includes/end.php'; 
?>

Rapportera Redigera

Citera flera Citera

2014-03-16 21:18

Permalänk

Zakire

Medlem ★

Plats: Helsingborg
Registrerad: Mar 2010

●

En helt annan sak jag ser direkt som du måste åtgärda är följande:

$id = (int)$_GET['id'];
...
$result = mysql_query("DELETE FROM coin_bases WHERE id='$id'");

Detta ger möjlighet till SQL-injection.
Vad händer om någon skriver http://url.till.sida/script.php?id=1';TRUNCATE TABLE? Ja, då skulle ditt PHP-script skriva

$result = mysql_query("DELETE FROM coin_bases WHERE id='1'; TRUNCATE TABLE'");

och all data i din tabell raderas.

Gör istället så här:

$id = mysql_real_escape_string($_GET['id']);
...
$result = mysql_query("DELETE FROM coin_bases WHERE id='$id'");

mysql_real_escape_string() förhindrar att någon kan göra så kallade SQL-injections.
Något du alltså alltid ska ange när du skickar POST/GET, inte bara i ovan script.

Lycka till!

Rapportera Redigera

Citera flera Citera (3)

2014-03-16 23:43

Permalänk

iXam

Medlem ★

Plats: Stockholm
Registrerad: Jan 2004

●

Skrivet av Zakire:

En helt annan sak jag ser direkt som du måste åtgärda är följande:

$id = (int)$_GET['id'];
$result = mysql_query("DELETE FROM coin_bases WHERE id='$id'");

Detta ger möjlighet till SQL-injection.

Feedback/optimering av flerfunktionellt php script

Feedback/optimering av flerfunktionellt php script

Nördiga jobb i Sverige

Spelnyheter från FZ