有人可以帮我理解为什么这个 MySQL 更新代码不能正常工作 php 5

Question

这是代码。它似乎在 PHP 5 中存在问题。它在 PHP 4.4.9 中运行良好。

if($_REQUEST['action']== "Update"){ 

    $curDate = date("Y-m-d");
    $image =$_FILES['vImage']["name"];
    $uploadedfile = $_FILES['vImage']['tmp_name'];


$sql="UPDATE businessad 
        SET iBUserID= '$_REQUEST[iBUserID]', 
            iCategoryID= '$_REQUEST[iBCategoryID]', 
            vAdTitle= '$_REQUEST[vAdTitle]', 
            tAdText= '$_REQUEST[tAdText]',
            vAdImage= '$vAdImage', 
            vAdURL= '$_REQUEST[vAdURL]', 
            dStartDate= '$_REQUEST[dStartDate]',
            dEndDate= '$_REQUEST[dEndDate]', 
            vAddress1= '$_REQUEST[vAddress1]', 
            vAddress2= '$_REQUEST[vAddress2]',
            vCity= '$_REQUEST[vCity]',
            vState= '$_REQUEST[vState]', 
            vZipCode= '$_REQUEST[vZipCode]', 
            vPhone= '$_REQUEST[vPhone]', 
            vEmail= '$_REQUEST[vEmail]', 
            eStatus='$_REQUEST[eStatus]' 

        WHERE iBusAdID='".$_REQUEST['iBusAdID']."'";

$db_sql=$obj->sql_query($sql);

if($db_sql)
{   
    $msg=MSG_UPDATE;
    header("Location:businessadview.php?var_msg=$msg");
    exit;
}
else
{
    $msg=MSG_UPDATE_ERROR;
    header("Location:businessadview.php?var_msg=$msg");
    exit;

该代码不会更新到 MySQL 表，我不知道为什么。

上面的代码之前是一个看起来像这样的表单，

<form name="frmadd" method="post" action="businessadadd_a.php" enctype="multipart/form-data">
<input type="hidden" name="action" value="<?=$action;?>">
<input type="hidden" name="iBusAdID" value=<?=$iBusAdID;?>>

我检查我的服务器错误日志并发现了这一点。它提到了 globals.php 中的一些错误，这是 include 调用的一部分。我也会包含包含代码。

这是包含代码

<?php

@session_start();

@ob_start();

include_once("./lib/db_config.php");

include_once("./lib/myclass.php");

include_once("./lib/globals.php");

    if(!isset($obj)){

    $obj = new myclass($SERVER,$DBASE,$USERNAME,$PASSWORD);

     }

include_once("./lib/generalsettings.php");

include_once("./function/general.php");

include_once("./lib/messages.php");

getGeneralVar();

?>

这是服务器错误日志有问题的 globals.php 代码

  <?php

     $glob=array("SERVER");

if(isset($GPC_vars))
{ foreach($GPC_vars as $var)
   { foreach(array("GET","POST","COOKIE") as $avar)
       if(isset($GLOBALS["HTTP_".$avar."_VARS"][$var]))
         { $$var=$GLOBALS["HTTP_".$avar."_VARS"][$var];
         }
   }               
}
else
{ $glob=array_merge(array("GET","POST","COOKIE"),$glob);
}

foreach($glob as $avar)
{ $arr=$GLOBALS["HTTP_".$avar."_VARS"];
  foreach($arr as $var => $res)
       $$var=$res;
}

foreach ($HTTP_POST_FILES as $name => $value) {
    $$name = $value["tmp_name"];
    foreach($value as $k=>$v) {
        $varname_ = $name."_".$k;
        $$varname_ = $v;
    }
}
reset($HTTP_POST_FILES);
?>

这是错误日志的内容

[Mon Mar 14 13:08:55 2011] [error] [client -] 文件不存在: /public_html/favicon.ico

[Mon Mar 14 13:08:54 2011] [error] [client -] PHP 警告：reset() [function.reset]: 传递的变量不是 /public_html/lib 中的数组或对象/globals.php 第 30 行，引荐来源：xxx.com/admin/businessadadd.php?iBusAdID=4&action=Update

[Mon Mar 14 13:08:54 2011] [error] [client -] PHP 警告：无效参数为 .../public_html/lib/globals.php 第 23 行中的 foreach() 提供，参考：xxx.com/admin/businessadadd.php?iBusAdID=4&action=Update

[Mon Mar 14 13:08:54 2011 ] [错误] [客户端 -] PHP 警告：第 19 行 .../public_html/lib/globals.php 中的 foreach() 提供的参数无效，引用地址：xxx.com/admin/businessadadd.php?iBusAdID=4& action=更新

[Mon Mar 14 13:08:54 2011] [error] [client -] PHP 警告：在第 19 行 .../public_html/lib/globals.php 中为 foreach() 提供的参数无效，引荐来源：xxx .com/admin/businessadadd.php?iBusAdID=4&action=Update

[Mon Mar 14 13:08:54 2011] [error] [client -] PHP 警告：为 .../public_html 中的 foreach() 提供的参数无效/lib/globals.php 第 19 行，引荐来源：xxx.com/admin/businessadadd.php?iBusAdID=4&action=Update

[Mon Mar 14 13:08:54 2011] [error] [client -] PHP 警告：第 19 行 .../public_html/lib/globals.php 中的 foreach() 提供的参数无效，引荐来源：xxx.com/admin/businessadadd.php?iBusAdID=4&action=Update

Answer 1

因为它只是一个字符串。您执行查询吗？如果是这样，mysql_error 告诉你什么？

拜托，非常拜托，Google 进行 SQL 注入。这段代码非常容易受到攻击。

Answer 2

您的陈述解释了其失败的原因：

我不知道为什么

1）您引用了用于生成查询的代码片段 - 但我们需要查看发送到数据库的查询和表的结构

2）我们还需要查看查询失败后返回的错误信息。

3）由于您使用的是$_REQUEST，我们还需要查看两个PHP安装的variables_order设置，以确定如何填充$_REQUEST

我希望一旦您找到这些问题的答案，解决方案就会显而易见。但同样值得注意的是，将用户提供的数据拼接到 SQL 查询中是一个非常糟糕的主意 - 您很容易受到 SQL 注入攻击。

Answer 3

您可以尝试在查询末尾使用您正在执行的串联。它可能会将 $_REQUEST['SOMETHING'] 视为字符串。

$sql = "UPDATE businessad 
           SET iBUserID = '".$_REQUEST['iBUserID']."',
               iCategoryID = '".$_REQUEST['iBCategoryID']."',    
               vAdTitle = '".$_REQUEST['vAdTitle']."', 
               tAdText = '".$_REQUEST['tAdText']."',
               vAdImage = '$vAdImage', 
               vAdURL = '".$_REQUEST['vAdURL']."', 
               dStartDate = '".$_REQUEST['dStartDate']."',
               dEndDate = '".$_REQUEST['dEndDate']."', 
               vAddress1 = '".$_REQUEST['vAddress1']."', 
               vAddress2 = '".$_REQUEST['vAddress2']."',
               vCity = '".$_REQUEST['vCity']."',
               vState = '".$_REQUEST['vState']."', 
               vZipCode = '".$_REQUEST['vZipCode']."', 
               vPhone = '".$_REQUEST['vPhone']."', 
               vEmail= '".$_REQUEST['vEmail']."', 
               eStatus = '".$_REQUEST['eStatus']."'    
         WHERE iBusAdID = '".$_REQUEST['iBusAdID']."'";

Answer 4

当您说您的代码在 PHP4 中工作但在 PHP5 中停止工作时，很容易认为这是由于缺少 ma​​gic_quotes 造成的。该功能在 PHP5 的默认配置中已被禁用。由于缺少转义，您的 SQL 查询现在变得无效。

在脚本的开头（但在 mysql_connect 之后）添加以下内容：

$_REQUEST = array_map("mysql_real_escape_string", $_REQUEST);

这是解决方法，但如果它在数据库连接后始终立即执行，那么至少是安全的。如果必须的话，对 $_GET 和 $_POST 执行相同的操作。 （正确的方法是迁移到 PDO 和参数化 SQL，或者至少在连接 SQL 查询的任何地方应用 mysql_real_escape_string 函数。）