HTML 文本输入并将输入用作脚本(tcl)/sql(sqlite) 中的变量

Question

我对整个网络事物非常非常陌生。总的来说我很困惑。基本上，我想做的是使用 HTML 通过文本获取输入，并将该输入添加到数据库、表转换中。应该很简单，但我迷路了。

    <li>Transaction Number</li>
    <li><input type=|text| name=|tnumber| </li> // do i need to use value?
    <li>Employee Name</li>
    <li><input type=|text| name=|ename| </li>
    <li><input type=|SUBMIT| value=|Add|></li>


    ......
    ......
    sqlite3 db $::env(ROOT)/database.db
    db eval {INSERT INTO trans VALUES ($tnumber, $ename)}
    db close

它们都在同一个文件中，并且为了简单起见，数据库中只有两个字段。我在这里看到的是 tnumber 和 ename 没有声明为变量。那么如何才能将文本输入分配给相应的变量呢？

Answer 1

您正在寻找 ncgi 包（在 Tcllib 中），您可以使用它来解码表单中的值并将它们提取到变量中。为此，您需要一个具有如下形式的网页：（

<form method="POST" action="/cgi-bin/addTransaction.tcl">
  <li>Transaction Number: <input type="text" name="tnumber">
  <li>Employee Name:      <input type="text" name="ename">
  <li><input type="submit" value="Add">
</form>

我不会更深入地讨论在网页上编写表单的细节。）

然后，在您的程序中（addTransaction.tcl）您执行如下操作：

package require ncgi
package require sqlite3

ncgi::parse

set xact [ncgi::value "tnumber"]
set name [ncgi::value "ename"]

sqlite3 db $::env(ROOT)/database.db
db eval {INSERT INTO trans VALUES ($xact, $name)}
db close

请注意，我已将变量名称更改为与网络表单中的变量名称不同。这是为了表明它们不需要相同。其他需要注意的事情是，您可以将交易编号字段设置为可选（通过 ncgi::value 的第二个可选参数提供默认值），并且生成交易 ID 可能会更好在数据库中（但这是另一个单独的问题；我在这个答案中重点关注如何从网络耦合到 SQLite）。

更有趣的是，上述代码没有受到 SQL 注入攻击。然而，每当您获取数据库的内容并将其发送回网络时，您都需要再次小心，否则您将留下公开的 XSS 攻击。这就是 html 包（又是 Tcllib）有用的时候，因为它可以让你生成正确的以最小的努力实现无风险输出。但这是另一个问题了...