PHP值沒有通過更新查詢

Question

我在尋找爲什麼我的mysql不起作用，但在這種情況下沒有找到任何幫助我的東西。

我的問題是，我想要update我的數據庫通過在$_GET中輸入一個具體的ID來記錄日期。這裏看着：

$date = date('Y-m-d', time()); 

session_start(); 
header('content-type: text/html; charset=utf-8'); 
require_once("cnx_db_inventory.php"); 
$idComputer=$_GET['idComputer']; 
$query="select computer.computer_id, 
    computer.computer_name 
    from computer 
    where computer.computer_id='$idComputer'"; 
$data = get_array($query); 
foreach($data as $value) { 
    $computername=$value['computer_name']; 
} 

//Update the database 
if(isset($_GET['validate'])){ 
    $idComputer; 
    $query="UPDATE computer 
    SET deleted_date='$date' 
    WHERE computer.computer_id=$idComputer"; 
    mysql_query($query); 
    echo $query; 
} 

我的我的查詢echo看起來像這樣去驗證：

UPDATE computer SET deleted_date='2017-04-07' WHERE computer.computer_id= 

如果我把一些引號（」「），以$idComputer，回聲給了我這個：

UPDATE computer SET deleted_date='2017-04-07' WHERE computer.computer_id=」 

但是，如果我在isset()之外回覆（參見here），它給了我id。 爲什麼然後，當我點擊驗證時，computer_id沒有通過？

我的形式是這樣的：

<form id="general" name="general" action="delete.php" method="get"> 
    Are you sure you want to delete this?<br /> 
    <strong><font size="2" color ="black">Computer name </font></strong> 
    <input type="text" id="computername" name="computername" value="<?php echo $computername;?>"/><br /> 
    <input type="submit" name="validate" value="Validate" class="button"> 
    <input type="submit" name="cancel" class="button" value="Cancel" onClick="general.action='researchInventory.php'; return true;"/> 
</form> 

我嘗試把$IdComputer在isset，但不會改變任何東西。我之前有過類似的問題，這有助於我解決問題，但在這種情況下不能。我嘗試通過if(){}之外的mysql_query。我嘗試在SELECT中撥打computer.deleted_date，但什麼也沒有。

我試圖把一個隱藏的輸入值爲computer_id，嘗試$_post方法（看這個one），但沒有任何變化，當我驗證！無論如何，computer_id都沒有通過。

class DBConnection{ 
private static $_singleton; 
private $_connection; 
private function __construct(){ 
    $ip =$_SERVER['REMOTE_ADDR']; 
    $this->_connection = @mysqli_connect(DB_HOST, DB_USER, DB_PASS,DB_NAME) or die("Could not connect to database"); 
mysqli_set_charset($this->_connection,"utf8"); 
} 
public static function getInstance(){ 
    $ip =$_SERVER['REMOTE_ADDR']; 
    if (is_null (self::$_singleton)) { 
     self::$_singleton = new DBConnection(); 
      mysqli_set_charset('utf8');//Line 20; 
    } 
     return self::$_singleton; 
    } 
    public function getHandle(){ 
     return $this->_connection; 
    } 
} 

Answer 1

工作例如：添加POST方法，只是因爲我不喜歡得到這麼多的:)，並與ID

<?php 

error_reporting(E_ALL); 
ini_set('display_errors', 1); 

include"config.inc.php"; // only DB parameters in here 

$mysqli = mysqli_connect("$host", "$user", "$mdp", "$db"); 

if (mysqli_connect_errno()) { echo "Error connecting : " . mysqli_connect_error($mysqli); } 

$id = $_GET['id']; /* assuming that your reach this page with an URL parameter ?id=3 ou any number */ 
echo"[ 1st check on ID -> $id ]"; 

// TODO -> clean var ID and check if set/numeric 

if(isset($id)) { 

/* prepare select */ 

$query = " SELECT computer_id, computer_name FROM computer WHERE computer_id=? "; 
$stmt = $mysqli->prepare($query); 

$stmt->bind_param("s", $id); /* if integer ID -> 's' becomes 'i' */ 

$results = $stmt->execute(); 
$stmt->bind_result($computer_id, $computer_name); 
$stmt->store_result(); 

if ($stmt->num_rows > 0) { 

while($stmt->fetch()){ 
echo"[ $computer_id -> $computer_name ]<br />"; 
} 
} 
else { echo"[ no data ]"; } 

//$stmt->free_result(); 

} else { echo"[ no ID defined ! ]"; } 

// Update the database 
if(isset($_POST['validate'])){ 

$date = date('Y-m-d', time()); 
$idComp = $_POST['computerID']; 

/* prepare update */ 

$query1 = " UPDATE computer SET deleted_date=? WHERE computer_id=? "; 
$stmt1 = $mysqli->prepare($query1); 

$stmt1->bind_param("ss", $date, $idComp); /* if integer ID -> 'ss' becomes 'si' */ 

if (!$stmt1->execute()) { echo"false -> update failed"; echo $stmt1->error; } else { echo"true -> update ok"; } 

$stmt1->free_result(); 
} 

?> 

<form id="general" name="general" action="delete.php" method="post"> 
<input type="hidden" id="computerID" name="computerID" value="<?php echo"$computer_id"; ?>" /> 
Are you sure you want to delete this ?<br /> 
<strong>Computer name</strong> 
<input type="text" id="computername" name="computername" value="<?php echo"$computer_name"; ?>" /><br /> 
<input type="submit" name="validate" value="Validate" class="button" /> 
</form> 

隱藏字段編輯：由於mysql_ *已被棄用在PHP 5.5（請參閱PHP doc），你應該更喜歡PPS : Prepared Parameterized Statements。這將有助於Preventing SQL injection

Answer 2

$idComputer=$_GET['idComputer']; 
$query="select computer.computer_id, 
    computer.computer_name 
    from computer 
    where computer.computer_id='$idComputer'"; 

. 
. 
. 

$query="UPDATE computer 
    SET deleted_date='$date' 
    WHERE computer.computer_id=$idComputer"; 

是computer.computer_id一個字符串類型的列？如果是這樣，那麼更新語句中的值必須用單引號引起來。

此外，這是非常糟糕的做法。有人可以訪問http://yoursite.com/yourscript.php?idComputer=Boston';DROP TABLE computer;--，真的把你搞亂了。你應該使用準備好的語句，或者至少使用mysql_escape_string（）函數。

同樣的想法也適用於您的HTML輸出。

<input type="text" id="computername" name="computername" value="<?php echo $computername;?>"/><br /> 

這應該是這樣的

<input type="text" id="computername" name="computername" value="<?php echo htmlspecialchars($computername); ?>"/><br />