Datenbankanfrage mit Flash+PHP

[FabD]

Hallöchen, ich habe folgendes Problem. Ich möchte in Flash die Select - Anweisung für eine Datenbankanfrage generieren lassen um sie dann an PHP zu übergeben. DOrt soll dann damit eine Datenbankabfrage durchgeführt werden.

Solange ich bei den Auswahlbedingungen Zahlenwerte suche ist das ganze kein Problem. Wenn aber Textinhalte gesucht werden sollen, wird nichts gefunden. ich nehme an, daß es mit den Anführungszeichen zusammenhängt, in die die Textinhalte gesetzt sein müssen. Habe auch schon versucht, die Zeichen mit extra Escape-Folgen (\" und \') einzufügen. Es klappt einfach nicht.

Irgendwelche Ideen? Für Anregungen jedweder Art bin sehr dankbar.

//Flash
var DatenSatz = new LoadVars();
DatenSatz.onLoad = function(success) {
	if (success) {
		//output loadVars worked
		ergebnis.text=DatenSatz.returnValue;
	} else {
		//error
	}
};

DatenSatz.abfrage = 'select * from allgemein where Architekt="Fabian"';

trace(DatenSatz.abfrage);
DatenSatz.sendAndLoad("abfrage.php", DatenSatz, "POST");

PHP-Code:

$abfrage=$_POST['abfrage'];
$sql = mysql_query($abfrage);
//und dann der ganze Ausgabekram 


[FabD]

... die Lösung gefunden. Und zwar werden beim Übertragen der Zeichenkette nach PHP automatisch Backslashe vor die eingesetzten Anführungszeichen gesetzt. Daher erkennt PHP den Ausdruck nicht als korrekten Abfrageinhalt.

Lösung:

PHP-Code:

strtr($string,$from,$to); 


Dann gehts.

[sonar]

stripslashes() hätt's vielleicht auch getan...

[FabD]

Ich danke dir. Aber da muss man erstmal drauf kommen, dass die Teile da rein geschrieben werden.

[sonar]

In so nem Fall verwende ich testweise erstmal LoadVars.send() und lasse mir das, was in PHP ankommt und/oder von PHP draus gemacht wird, ausgeben. Dann sieht man gleich, wenn was nicht passt und so...

[sebastian]

Oh Achtung:
Auf keinen Fall so machen, das ist ein großes Sicherheitsloch.

=> Nur einzelne Parameter an PHP übergeben, die auch noch entsprechend
geparst werden, damit SQL Injection nicht möglich ist

greetz

[FabD]

Äh, und das heißt?

[sebastian]

In diesem Einzefall den SQL Teil auch in PHP rein und nur die Datei aufrufen

[FabD]

Ah, weil ich select mit poste, meinst du. Das Problem ist ja, dass es eben kein Einzelfall bleibt sondern das ich in Flash die unterschiedlichsten Abfragekombinatonen zusammenstellen können will. Und diese Kombinationen sollen dann an PHP weitergereicht werden. Würde es denn schon reichen, wenn ich den select-Befehl nicht mitposte? Und was meinst du mit dem parsen der Parameter.

Bin was PHP angeht absoluter Neuling.

[sebastian]

Du darfst halt nur noch einzelne Werte übergeben, kein Teil eines Querys.
Im Prinzip für alle Fälle in PHP die Querys anlegen und dann eine ID übergeben
und mit if abfragen