MySQL 未添加到数据库

Question

我有一个使用下面的代码进行注册的表单：

<form method="post">
Username<input type="text" size="12" maxlength="16" name="username"><br />
Password<input type="password" size="12" maxlength="32" name="password"><br />
<input type="submit" name="submit" value="Sign Up!" />
</form>

然后我也检查用户名是否包含任何特殊字符，如果不包含，则运行此代码：

define("DB_SERVER", "localhost");
define("DB_USER", "will");
define("DB_PASS", "blahblah");
define("DB_NAME", "blahblah");
define("TBL_USERS", "users");

$connection = mysql_connect(DB_SERVER, DB_USER, DB_PASS) or die(mysql_error());
mysql_select_db(DB_NAME, $connection) or die(mysql_error());

function addNewUser($username, $password){
   global $connection;
   $username =$POST['username'];
   $password =$_POST['password'];
   $password1 = md5($password);
   $q = "INSERT INTO ".TBL_USERS." VALUES ('$username', '$password1')";
   return mysql_query($q, $connection);
}

这应该将用户名和密码添加到我的表中，密码为md5 哈希值，但它没有，有人可以帮助我吗？

谢谢！

Answer 1

首先：
不要使用连接字符串将值插入数据库。这是一个主要的安全漏洞，可以使用一种称为 SQL 注入的技术来利用它。您可以通过使用所谓的准备好的语句来防止这种情况。

这应该可以解决你的问题：
您可能没有真正调用 addNewUser 函数。您只需连接数据库即可。

试试这个：

define("DB_SERVER", "localhost");
define("DB_USER", "will");
define("DB_PASS", "blahblah");
define("DB_NAME", "blahblah");
define("TBL_USERS", "users");

function addNewUser($username, $password){
   global $connection;
   $password1 = md5($password);
   $username = mysql_real_escape_string($username);
   $q = "INSERT INTO ".TBL_USERS." VALUES ('$username', '$password1')";
   return mysql_query($q, $connection);
}    

$connection = mysql_connect(DB_SERVER, DB_USER, DB_PASS) or die(mysql_error());
mysql_select_db(DB_NAME, $connection) or die(mysql_error());
addNewUser($_POST["text"], $_POST["password"]);

Answer 2

看起来您实际上并没有在这里调用 addNewUser 。另外，作为未来的提示，使用准备好的语句来避免 SQL 注入可能是除了最简单的应用程序之外的任何方法。有关在 PHP 中使用 SQL 准备语句的教程是 这里

Answer 3

您是否正在调用 addNewUser 函数？

此外，请注意您的 SQL 语句中的SQL 注入。

Answer 4

$username =$POST['username'] 错误。你忘了_。它必须是 $username = $_POST['username']。

Answer 5

说得非常清楚......

你在那里有一个函数，但它从未被调用，正如每个人所说的那样。

要调用它，请在函数启动之前添加此行：

$var = addNewUser($_POST["username"], $_POST["password"]);

编辑：
更远...
在您的函数中，您已经有了 $username 和 $password，您可以删除这些行：

$username =$POST['username'];
$password =$_POST['password'];

最后但并非最不重要的一点是，仅使用 md5 存储密码不是一个好习惯。阅读：http://elbertf.com/2010 /01/store-passwords-safely-with-php-and-mysql/