SQLFehler

Marv · 20. März 2009

PHP

<?
include("db.php"); //Datenbank wird includet für spätere Überprüfung
$fehler = ""; //Leerer Fehlertext wird erstellt
$login = false;
if(isset($_POST['name']) && isset($_POST['pass'])){ //Eingabefelder ausgefüllt?
  $name = $_POST['name'];
  $pass = $_POST['pass'];
  //Werte werden in bequemeren Variablen gespeichert
  $sql = "SELECT * FROM mitglieder WHERE nick = '$name'";
  $eingabe = mysql_query($sql);
  $row = mysql_fetch_assoc("$result");
  if(md5($pass) === $row['passwort']) { //Passwort richtig? Dann Login Versuch erfolgreich
	$login = true;
  }else{
	$fehler = "Passwort falsch"; //


  }
}else{
  $fehler = "Bitte alle Eingabefelder ausfüllen";
}
if($login) { //Login Versuch erfolgreich?
  session_start(); //Session wird gesetzt
  $_SESSION['login'] = true; //Allgemeine Überprüfungsvariable wird gesetzt
  $_SESSION['name'] = $name; //Username wird gespeichert
}
?>

Alles anzeigen

Das steht ganz oben auf meiner Seite, richtig so --> $_Session will einen Cookie machen..
Man kann auch aus dem Code schließen, dass unten auf der Seite eingabefelder sind (weshalb ich das nicht mit reingepackt habe)
Nur wenn ich nun das Formular abschicke, kommt diese Fehlermeldung:

Warning: mysql_fetch_assoc(): supplied argument is not a valid MySQL result resource in F:\xampplite\htdocs\Community\login.php on line 11

Was zum Teufel ist da los Und wie kann ich das beheben ?

Riku

Marv · 20. März 2009

Hat sich geklärt.
PLs closen

(thx an Meta xD)

Chris! · 20. März 2009

Tipp:
Das ist nicht vor SQL-Injectons sicher..

PHP

//  $name = $_POST['name'];  $pass = $_POST['pass'];  //Werte werden in bequemeren Variablen gespeichert  $sql = "SELECT * FROM mitglieder WHERE nick = '$name'";

lieber so:

PHP

//
  $name = $_POST['name'];
  $dbName = mysql_real_escape_string($name);
  $pass = $_POST['pass'];
  //Werte werden in bequemeren Variablen gespeichert
  $sql = "SELECT * FROM mitglieder WHERE nick = '$dbName'";

So ist es sicher und du hast in $name noch den richtigen Namen..

Marv · 20. März 2009

was macht die funktion

mysql_real_escape_string();

Chris! · 20. März 2009

Siehe http://de3.php.net/mysql_real_escape_string:

...
Die Funktion muss immer (mit wenigen Ausnahmen) verwendet werden, um Daten
abzusichern, bevor sie per Query an MySQL übermittelt werden.

...

chris_g_ivi · 26. März 2009

Zitat von Chris!

Siehe http://de3.php.net/mysql_real_escape_string:...Die Funktion muss immer (mit wenigen Ausnahmen) verwendet werden, um Datenabzusichern, bevor sie per Query an MySQL übermittelt werden....

Kurz gesagt, jemand der deinen Code ansatzweise kennt, kann er versuchen die eingegebenen Daten so zu wählen, dass die Eingabe als PHP oder SQL-Code interpretiert wird.Beispielsweise:

SQL

SELECT * FROM mitglieder WHERE nick = '$name'

wenn du Name gut wählst:

SQL

SELECT * FROM mitglieder WHERE nick = '' OR 1 = 1;//'

in diesem Fall wäre:

PHP

$name = "' OR 1 = 1;//";

Verstanden? ~ closed ~

Benutzer online in diesem Thema