MYSQL und android

[Trancegott]

Ich weiß, es ist eigentlich nicht das richtige Forum, aber kann mir jemand sagen was hierdran:

<?php
    mysql_connect("servername","name","passwort");
    mysql_select_db("dbname");
    $name = $_GET["name"];
    $points = $_GET["points"];
$query = "UPDATE highscore SET points=".$points." WHERE name='".$name."'"; 
  
      
    mysql_query($query);     
    mysql_close();
?>​

falsch ist?
ich versuche das ganze mit

http://.../write.php?name=%22Alexa%20Bomkamp%22&points=%22100

aufzurufen.
Es kommt keine Fehlermeldung, aber in der Datenbank tut sich einfach nichts.

Danke im Vorraus.

 

[ko5tik]

Habe nicht viel Ahnung von PHP, aber das was du da tust scherit gerade nach SQL-Injection ...

 

[Tom299]

Ich kenn mich mit PHP auch nicht aus, aber mein Arbeitskollege meinte, erst mal error_reporting aktivieren, damit du evtl. Fehler siehst.

Und am Beispiel bei php.net sieht man, daß man nach dem connect eine resource bekommt, die kann man schon mal abfragen und auch beim select_db mitgeben:

<?php

$link = mysql_connect('localhost', 'mysql_user', 'mysql_password');
if (!$link) {
    die('Verbindung nicht möglich : ' . mysql_error());
}

// benutze Datenbank foo
$db_selected = mysql_select_db('foo', $link);
if (!$db_selected) {
    die ('Kann foo nicht benutzen : ' . mysql_error());
}
?>

 

[Thyrion]

http://.../write.php?name=%22Alexa%20Bomkamp%22&points=%22100

Ich habe von PHP auch keine Ahnung, aber müsste dann nicht in $name "Alexa Bomkamp" (inkl. Anführungszeichen) und in $points "100 (ebenfalls inkl. Anführungszeichen und auch nur eins) stehen? Falls ja, dann ist $points kein Integer, weswegen dein Update nicht klappen kann.

EDIT: Dein zusammengesetztes Update sieht ja so aus

UPDATE highscore SET points="100 WHERE name='"Alexa Bomkamp"'

Versuch's mal ohne die %22

 

[DieGoldeneMitte]

Bitte, bitte, BITTE, keine SQL Befehle mit Stringkonkatenation zusammen bauen.
Das schreit nach unabsichtlicher (Alexanda 'Ducklip' Bohmkamp) oder absichtlicher (Alexandra';DROP table highscore;--) SQL-Injection.

Man sollte IMMER mit prepared Statents arbeiten: PHP: Prepared Statements und Stored Procedures - Manual

Siehe auch: https://xkcd.com/327/