Citanje iz baze, pomoc, problem

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

Ovako: (Pokusacu da budem sto jasniji i da objasnim sto jednostavnije)

Imam tabelu u MySQL bazi, koja sadrzi :

id - Int
naslov - Varchar
sadrzaj - Text
I jos nesto, sad nebitno.

U php stranici definisao sam sledece :
Citat:mysql_connect("localhost","blabla","");
mysql_select_db("tabela");

$strana = $_GET['strana'];
if($strana){
include($strana);
}

$citaj = mysql_query("SELECT * FROM strane WHERE id = ".strana);

while($row = mysql_fetch_assoc($citaj))
{
$id = $row['id'];
$naslov = $row['naslov'];
$sadrzaj = $row['sadrzaj'];

echo $naslov." <br>".$sadrzaj."<br><hr>";

}

I na strani npr "nesto.php?strana=1", to radi i cita iz baze iz id-1.

Pitanje je zasto ovo ne radi :
Citat:
$citaj = mysql_query("SELECT * FROM strane WHERE naziv = ".strana); ?
I sta treba da uradim da bi ovo radilo ?

Mislim da nije veliki problem. Ako neko moze da mi pomogne.

Hvala unapred.

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

$citaj = mysql_query("SELECT * FROM strane WHERE naziv = '$strana' ");

i odmah ispod upita stavi ovu liniju koda

$result = mysql_query($citaj) or die(mysql_error());

u slucaju greske izbacice ti informaciju gde je nastala


edit: moja greska...

mislio sam ovako:

$sql = "SELECT * FROM strane WHERE naziv = '$strana' "; $citaj = mysql_query($sql) or die(mysql_error());

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

Hvala puno
Sad mogu da zavrsim sajt.

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

inace, Nikola04, ovo:
$strana = $_GET['strana']; if($strana){ include($strana); } $citaj = mysql_query("SELECT * FROM strane WHERE id = ".strana);
je vrlo opasno.

moras paziti sta ukljucujes sa include() funkcijom, takodje moras paziti sta se sve ubacuje u mysql query da ne bi doslo do :

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

Sta milos zelis da kaze jeste da je sajt veoma podlozan MySQL injekciji (boca ) i da svaki sadrzaj koji ulazi u sajt bi trebao da bude filtriran.

http://www.tizag.com/mysqlTutorial/mysql-php-sql-injection.php

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

takodje gornji deo:
$strana = $_GET['strana']; if($strana){ include($strana); }

ranjiv na remote file inclusion gde je moguce ubaciti bilo koji php kod uglavnom se iskoriscava ubacivanjem php shell-a tako da u tvom primeru mozes proveriti da li je $strana broj jer kasnije koristis tu varijablu (broj) u mysql query-ju kao id