Как добавить статью с PHP кодом в БД MYSQL?

Question

[Иван]

Я изучаю PHP, и в этом деле еще новичок. Решил сделать себе маленький блог, для собственного саморазвития, и слежению за своим прогрессом в изучении PHP.

Но случилось непонятное (я новичок), при попытке добавить в MYSQL БД статью с PHP кодом, мне выдает ошибку 403 Access denied.

Пробовал экранировать текст статьи с помощью htmlspecialchars и mysqli_real_escape_string но ничего не меняется. Почему так происходит?

Для примера добавлял в качестве php кода в статью простейшее

<?php
$a=1;
echo($a);
?>

Но все равно 403 Access denied.

Статьи без PHP кода добавляются в базу и отображаются на сайте нормально.

Сейчас заметил что ругаться сервер начинает только при наличии в статье символов

<?

именно этих двух и в таком порядке

Answer 1

[Иван]

Написал в поддержку хостинга - пришел ответ

Запросы блокирует ModSecurity

Мы убрали из mod_security данное правило, которое блокировало попытки отправить код непосредственно через формы.

Answer 2

[Quty]

403 Access denied - ошибка не PHP или MySQL, а веб-сервера. Скорее всего у Вас неверное сконфигурирован виртуальный хост, либо же недостаточно прав на каталог, в котором находятся скрипты.
По поводу записи текста, то тут все в порядке, следующий код вполне успешно записывает строку, содержащую PHP код:

$stmt = $mysqli->prepare("INSERT INTO code_examples(code_text) VALUES (?)") or die;  
$stmt->bind_param("s", htmlspecialchars('<?php $i = 5; echo $i; ?>')) or die;
$stmt->execute() or die;

Comments

[Иван]

Я тоже грешил на недостаток прав - но даже при 777 та же 403 выскакивает. Причем на локальной машине этот скрипт работает нормально и никаких ошибок не выдает. А на сайте выдает 403, но опять же толькопри наличии в тексте добавляемой статьи php кода

[Иван]

То бишь обычная статья без вкраплений php кода без проблем добавляется на сайт а если в статье присутствует код - нет. На локальной машине тестирую - все работает и с кодом и без

[Иван]

Сейчас заметил что ругаться сервер начинает только при наличии в статье символов

<?

именно этих двух и в таком порядке

[Quty]

Иван Сараев: у меня с таким кодом

$str = '<?php $a = 5; return $a; ?>';
echo "1. $str";
$str = htmlspecialchars($str);
echo "2. $str";

получается вывод

1.
2. <?php $a = 5; return $a; ?>

К сожалению, не знаю всей магии PHP, но может htmlspecialchars() все же решит проблему?

[Иван]

Quty: Этот код у меня тоже отработал без проблем.

Мой код

$rei=mysqli_query($link, 'INSERT INTO blog(Blogtitle, Blogtext, Blogkeywords, Blogdate, Blogtema, Blogavtor) VALUES("'.strip_tags($_POST['blogtitle']).'", "'.addslashes($_POST['blogtext']).'", "'.strip_tags($_POST['blogkeywords']).'", "'.date("Y-m-d H:i:s").'", "'.strip_tags($_POST['blogtema']).'", "'.$_SESSION['ulogin'].'")');

может ошибка в нем? Но тем не менее на денвере он срабатывает

[Иван]

Да кстати текст статьи в моем запросе здесь addslashes($_POST['blogtext'])

[Иван]

Quty: А может ли быть сервер как то настроен на блокировку последовательности <?

htmlspecialchars пробовал не помогает

[Иван]

Причем если в статье написать

< ?php
$a=1;
echo($a);
?>

с пробелом после первого открывающего тега
то она добавляется нормально

Пробовал заменять str_replace <? на < ? опять 403

[Quty]

Иван Сараев: проверил на локальном сервере такой код:

<?php

$mysqli = new mysqli("localhost", "root", "root", "schema_with_php_code");

$title = $_POST['post_title'] ? htmlspecialchars($_POST['post_title']) : NULL;
$text = $_POST['post_text'] ? htmlspecialchars($_POST['post_text']) : NULL;

if($title && $text) {
$insert_query = "INSERT INTO blog_post(post_title, post_text) VALUES(?, ?)";
$statement = $mysqli->prepare($insert_query);
$statement->bind_param("ss", $title, $text);
$statement->execute();
$statement->close();
}

$posts = $mysqli->query("SELECT * FROM blog_post")->fetch_all();

?>

Передал в качестве post_text текст с php кодом, все нормально обработалось и записалось в БД.

Постарайтесь выяснить, когда появляется ошибка, в момент записи в БД или же еще до этого.
По поводу последовательности "<?" не знаю, но как я отметил в комментарии выше, echo строку с такой последовательностью символов не выводит, причины сего мне не понятны.

[Иван]

Quty: Это действительно магия, но ошибка появляется сразу при попытке передать POST запрос, даже если его потом нигде не использовать, и убрать на время запись в БД.

Сразу после нажатия кнопки отправки формы, даже если данные пришедшие от нее нигде не используется. вообще нигде, все равно 403 Access Denied

На локальном сервере (denwer) все работает как часы.

По крайней мере понятно что дело не в кривом коде, и не в запросе к БД

[Иван]

Сохранил как отдельный скрипт - при попытке POST запроса с символами <? в теле запроса 403 ошибка

Answer 3

[infastin]

Я лично, так никогда не делал.
Попробуй к примеру добавить это в бд:
{a},
а потом обрабатывать в php:

<?php
  $a = 1;
  $text = str_replace("{a}", $a, "Здесь получаем статью из БД");
  return $text;
?>

Comments

[Иван]

Ваш ответ мне не совсем понятен. У меня проблема в том что при добавлении в блог статей которые содержат php код сервер выдает ошибку 403. Тот маленький кусочек кода что я привел вверху - не код скрипта а просто текст на языке PHP который может присутствовать в тексте статьи в качестве того, пропустит ли его сервер или выдаст 403 ошибку.

[Иван]

То есть сервер почему то ругается на статьи с php кодом присутствующем в тексте этих статей. Вот например здесь на тостере, в наших сообщениях php кусочки кода прекрасно видны, а мой сервер их на дух не воспринимает почему-то

[Иван]

Хотя на локалке все путем тестируется

[infastin]

Иван Сараев: Просто не сразу понял суть проблемы. Попробуйте заменить <?php на {php}, а ?> на {/php}. Потом же при получении статьи заменить {php} на <?php, а {/php} на ?>

[Иван]

infastin: Пробовал, оказалось ошибка происходит до того как придут данные с формы