Можно ли так сделать запрос?

Question

[Просто чудо]

"SELECT * FROM ".MySQL_TABLE_ACC." WHERE ".MySQL_ACC_LOGIN." = '$_POST[login]'"

использую дифайны. Если обычно пропускаю запрос. Все нормально а вот через дифайны. Ошибка. Пропускаю через Ajax запрос.

Answer 1

[Златослав Десятников]

Уважаемый, у Вас дырка в запросе для SQL-инъекции, которую может сделать даже неопытный школьник и Вы останетесь без данных.

Идите читать про экранирование символов, PDO и prepared statements.

Answer 2

[Сережа Ахен]

"SELECT * FROM " . MySQL_TABLE_ACC . " WHERE " . MySQL_ACC_LOGIN . " = '" . $_POST[login] . "'"

не? Где в твоем примере конкатенация в конце строки?
Ну и да, пихать без обработки данные из пост запроса в мускуль запрос, это ход гения.

Comments

[Златослав Десятников]

Господи, откуда берутся такие...

[Сергей Гнатюк]

Гениальные идеи, рождаются у гениальных разработчиков)

[Просто чудо]

Обработка есть, функцией обрабатываю данные.

[Златослав Десятников]

Дмитрий Сергеевич, читайте мой ответ выше. Если хотите заниматься разработкой, слушайте более опытных разработчиков, иначе обречены на профессиональную погибель ещё до рождения.