使用JS / JQuery修改PHP以与MySQL通讯

Question

因此，我的目标是尝试允许页面上的动态元素确定发送到数据库的SQL。

第一部分是我的主要HTML文档中包含的JS：

var sub_condition = " AND artist=\'ivoilic\' ";//$(".current_filter").attr("condition");
        $("<?php $conditions = 'WHERE owner=\'ivoilic\'"+ sub_condition+"'; include 'PHP/get_info.php';?>").appendTo(".collection tbody");

上面包含的文档get_info.php看起来像这样：

<?php
include "connect.inc.php";
parse_str($conditions,$test);
$info = mysql_query("SELECT * FROM cards ".$condition.";")or die(mysql_error());?>

我的问题是，当我仅回显SQL时，它看起来很好，而当我手动测试SQL时，它就可以工作。 但是无论出于什么原因，当我尝试使用此方法插入SQL的末尾时，都无济于事。 有人有想法么？

Answer 1

我尝试向您显示正确的方向：

第一

想想您想在mysql中做什么。 Google for mysql注入。 如果您将mysql查询从客户端（浏览器）发送到服务器，则每个人都可以将其更改为drop database并相信我-您不希望有人删除您的数据库;）

第二

查看此PHP数据库访问。 这是通过PDO完成的。 PDO是一个PHP类，可以防止mysql注入，并且以后也会在许多其他情况下为您提供帮助。

<?php
$id = $_GET['id'];
$ownerName = $_GET['ownerName'];

$db = new PDO('mysql:host=localhost;dbname=<SOMEDB>', '<USERNAME>', 'PASSWORD');
$query = $db->prepare('SELECT * FROM `cards` WHERE `id` = :ID AND `owner` = :OWNER');
$query->execute(array(
  ':ID' => $id,
  ':OWNER' => $owner
));
$result = $query->fetchAll(); //$result is now an array of search result objects

您会看到，您只是通过javascript将值发送到了php脚本。 当然，您可能在php脚本中有几个查询字符串，并且可能通过特殊查询ID和开关的组合得到一个查询字符串？ 由你决定。

例：

<?php
  $queryNum = (int)$_GET['queryNum'];
  $value1 = $_GET['val1'];
  $value2 = $_GET['val2'];

  switch($queryNum){
    case 1:
        $query = 'SELECT * FROM `cards` WHERE `id` = :ID AND `owner` = :OWNER';
        $queryVals = array(':ID' => $value1, ':OWNER' => $value2);
      break;
    case 2:
        $query = 'SELECT * FROM `cards` WHERE `color` = :COLOR AND `size` = :SIZE';
        $queryVals = array(':COLOR' => $value1, ':SIZE' => $value2);
      break;
    default:
         $query = 'SELECT * FROM `cards`';
         $queryVals = array();
      break;
  };

  $db = new PDO('mysql:host=localhost;dbname=<SOMEDB>', '<USERNAME>', 'PASSWORD');
  $query = $db->prepare($query);
  $query->execute($queryVals);
  $result = $query->fetchAll(); //$result is now an array of search result objects

第三

仅将数据库查询的值从javascript或HTML形式发送到php脚本。

摘要

那真的是基础知识，我的脚本示例只是可以向您显示正确方向的简单示例。 永远不要忘记防止用户以任何方式更改数据库查询或php代码的可能性！