[Variablen] $HTTP_GET_VARS in Abfrage verwenden

[Bubi1011]

Hallo!

Ich möchte eine Variable - die ich per URL übergeben habe (hier: $HTTP_GET_VARS["alias"] - in einer SQL-Abfrage verwenden. Der Inhalt der Variable läßt sich per 'echo' ausgeben - soweit so gut. Verwende ich jedoch die Variable in dem part ('select * from produkte where Alias ="$alias" ') passiert nix. Ersetzte ich die Variable durch den Namen eines meiner Produkte (z.B. "CPUNI") funktioniert das ganze... Weiß jemand was ich falsch mache?

Hier der kleine Ausschnitt aus dem Code:

<?php

...

$alias= $HTTP_GET_VARS["alias"]

echo "<h1>Produkt: <h1>", $alias;

$res = mysql_query ('select * from produkte where Alias = "$alias" ');

...

?>

[fox34]

1. Nimm lieber $_GET statt $HTTP_GET_VARS

2. Escape den String unbedingt mit mysql_real_escape_string (sonst ist SQL-Injection sehr leicht möglich)

3. Es werden nur Variablen innerhalb von " ersetzt, bei ' nicht.


Demnach:

<?php

$alias = mysql_real_escape_string($_GET['alias']);

echo "<h1>Produkt: </h1>", $alias;

$res = mysql_query ("select * from produkte where Alias = '$alias'");

// Alternativ: "select * from produkte where Alias = '".$alias."'"

?>

Und bitte PHP-Tags benutzen


lg