Блог

Я пытаюсь выполнить параметризованный запрос, чтобы обновить некоторые данные в базе данных.

Проблема в том, что сбой mysqli_stmt_prepare. Требование используется для подключения к базе данных.

 require 'includes/dbInclude.php';
if ($codeQuery > 0){
    $confirmationUsername = $_GET['confirmationUsername'];
    $active = "active";
    $noCode = "";
    $insertSql = "UPDATE users SET accountStatus = ? WHERE username = $confirmationUsername";
    $insertSql2 = "UPDATE users SET confirmationCode = ? WHERE username = $confirmationUsername";
    $statement = mysqli_stmt_init($connection);
    $statement2 = mysqli_stmt_init($connection);
    if (!mysqli_stmt_prepare($statement, $insertSql)){
        header("Location: registerComplete.php?error=sqlError1");
        exit();
    }
    elseif (!mysqli_stmt_prepare($statement2, $insertSql2)){
        header("Location: registerComplete.php?error=sqlError2");
        exit();
    }
    else{
        mysqli_stmt_bind_param($statement, "s", $active);
        mysqli_stmt_execute($statement);
        mysqli_stmt_bind_param($statement2, "s", $noCode);
        mysqli_stmt_execute($statement2);
    }
}
 

dbInclude.php содержит:

 <?php

//connection variables
$serverName = "localhost";
$dbUsername = "root";
$dbPassword = "";
$dbName = "ecglive";

//connection
$connection = mysqli_connect($serverName, $dbUsername, $dbPassword, $dbName);

//connection error
if(!$connection){
    die("There was an error connceting to the database: " . mysqli_connect_error());
}
 

И там, где я использовал, это работает. Я также попытался скопировать этот код в этот, просто чтобы посмотреть, были ли какие-либо проблемы с подключением к базе данных. Это не так.

Он всегда выдает первую ошибку if, где указано sqlError1, и если я ее удалю, то она перейдет к sqlError2.

Я допустил какую-либо ошибку?

Вам необходимо привязать username дополнение к accountstatus , чтобы помочь смягчить внедрение SQL.

 require 'includes/dbInclude.php';

if ($codeQuery > 0){

    $confirmationUsername = $_GET['confirmationUsername'];
    $active = "active";
    $noCode = "";

    $insertSql = "UPDATE users SET accountStatus = ? WHERE username = ?";
    $insertSql2 = "UPDATE users SET confirmationCode = ? WHERE username = ?";

    $statement = mysqli_stmt_init($connection);
    $statement2 = mysqli_stmt_init($connection);


    if (!mysqli_stmt_prepare($statement, $insertSql)){
        exit(header("Location: registerComplete.php?error=sqlError1") );
    } elseif (!mysqli_stmt_prepare($statement2, $insertSql2)){
        exit(header("Location: registerComplete.php?error=sqlError2") );
    } else{

        mysqli_stmt_bind_param($statement, "ss", $active,$confirmationUsername);
        mysqli_stmt_execute($statement);

        mysqli_stmt_bind_param($statement2, "ss", $noCode,$confirmationUsername);
        mysqli_stmt_execute($statement2);
    }
}
 

Этот код использует очень странный стиль, и он гораздо более подробный, чем необходимо. Вот более минимальная форма того же:

 require 'includes/dbInclude.php';

// Enable exception reporting
mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);

if ($codeQuery > 0) {
    try {
      // Prepare one query that sets both properties.
      $stmt = $connection->prepare('UPDATE users SET accountStatus=?,confirmationCode=? WHERE username=?');

      // Bind parameters directly form the source, no variables needed.
      $stmt->bind_param('ss', 'active', '', $_GET['confirmationUsername']);

      // Attempt to execute
      $stmt->execute();
    }
    catch (Exception $e) {
      // Error handling here...
      header("Location: registerComplete.php?error=sqlError2");
      exit();
    }
}
 

Вы действительно здесь мало что делаете, поэтому нет причин для того, чтобы этот код был таким подробным.

При этом, если это система регистрации для какого-то уровня управления доступом пользователей, и это не академический проект, вам следует прекратить работу над этим кодом, прежде чем создавать огромный беспорядок. Написать свой собственный уровень управления доступом непросто, и есть много возможностей сделать это неправильно.

Любая современная платформа разработки, такая как Laravel, поставляется со встроенной надежной системой аутентификации. Это решаемая проблема, и вам не нужно пытаться заново изобретать колесо.

По крайней мере, следуйте рекомендуемым рекомендациям по безопасности и никогда не храните пароли в виде обычного текста или слабого хэша, такого как SHA1 или MD5.