Som Benni skriver, så er der et sql injection i det eksempel.
Jeg vil prøve at omskrive koden, som den skal skrives:
- <?php
- $db = mysql_connect("teaterforeningenfyn.dk.mysql", "teaterforeninge", "xxxxxxxx"); mysql_select_db("teaterforeninge");
- $username = htmlspecialchars($_POST["username"]);
- $password = htmlspecialchars(sha1($_POST["password"]));
-
- $sql = "SELECT fuldenavn FROM users WHERE brugernavn='$username' AND password='$password' ";
- $result = mysql_query($sql) or die("Fail error: ". mysql_error());
-
- $row = mysql_fetch_array($result);
-
- if(mysql_num_rows($result)>=1) {
- print $row['fuldenavn'];
- print "<h1>tillykke</h1>";
-
- $_SESSION["fuldenavn"] = $row["fuldenavn"];
- } else {
- print "Ukorrekt login";
- }
- ?>
Bare som eksempel, og er sikker på at det er hen ad det som Benni mener
Indlæg senest redigeret d. 27.08.2011 08:43 af Bruger #16025