Erledigt - JavaScript Variable in SQL Abfrage einfügen

[didi01]

Hallo zusammen,
jetzt muss ich doch man nachfragen.

Ich habe eine JavaScript Funktion in der ich den Value eines Textfeldes auslese:

var ma_kontrolle = document.FORMULAR.ma_kontrolle.value;

Den Wert dieser Variablen möchte ich nun in einer SQL-Abfrage verwenden.

$sql = "SELECT pers_id, pers_nr FROM personal WHERE kuerzel = '?> + ma_kontrolle + <?php'";

Leider funktioniert dies nicht. Ich bekomme auch keine Fehlermeldung.
Wenn ich einen alert(ma_kontrolle) vor der SQL-Abfrage einfüge, wird mir der Inhalt des Textfeldes korrekt ausgegeben.

Die Frage ist nun, wie ich die JavaScript Variable innerhalb von PHP in die SQL Abfrage einbinden kann.

Vielen Dank im Voraus
Gruß
didi01

 

[msa1989]

Hallo didi01,

was du da mit dem Quoce machst, wenn er funktionieren würde, wäre grob fahrlässig.
Stell dir vor in "ma_kontrolle" steht folgendes:

;
DROP TABLE personal

Dann wird deine select Abfrage beendet ( und anschließend deine Personal Tabelle gelöscht.


So jetzt zum eigentlichen Code. Warum der nicht funktionieren kann. Dein PHP Code wird ausgeführt, sobald du die Seite öffnest. Da ist die Variable ja noch leer

 

[didi01]

Hi msa1989,

die SQL-Abfrage befindet sich schon innerhalb der JavaScript Funktion, welche aufgerufen wird durch das Ändern einer Select-Box, deshalb dachte ich, wenn ich die Variable wie beschrieben aus dem Textfeld auslese, dass Sie mir in der SQL-Abfrage zur Verfügung steht.

Aber Danke für den Sicherheitshinweis, Du hast natürlich Recht. Es ist zwar "nur" das Intranet und alles noch in der Entwicklung, aber ich werde den Ablauf des Scriptes nochmal neu überdenken.

Gruß
didi01

 

[mwxx]

Hi didi01,
in der SQL-Abfrage schon, aber damit weiss ja der Datenbankserver noch nichts davon.
(Javascript läuft auf dem Client ab, SQL-Verarbeitung auf dem Server)
Wenn Du die Abfrage nicht per Ajax an diesen schicken willst, fällt mir spontan nur so etwas wie location.href=scl-verarbeitungsskript.php ein, aber damit ist die Antwort ja noch nicht zum Client zurückgekehrt... nee das führt so nicht zum Ziel ... bleibt nur Ajax oder Neuabruf der Seite mit SQL-Ergebnis

 

[didi01]

Hi wmxx,
wie gesagt, ich werde die den Ablauf des Scriptes anders programmieren, so dass ich diesen Weg nicht gehen muss, und dazu gehört, wie schon richtet sagtest, dass die Seite neu aufgerufen werden muss.
Nochmals vielen Dank.

Gruß
didi01

 

[Fugel]

Ich stimme @mwxx zu, das kannst du nur mit Ajax machen.

 

[msa1989]

Es gibt diverse Tutorials wie man ein Kontaktformular mit PHP abschickt. Ich denke dass du da anfangen kannst.
Das Prinzip ist dann dasselbe:

1. Benutzer verändert / erzeugt Daten in einem Formular
2. Daten werden per Ajax an ein Skript geschickt
3. Das Skript (php code) verarbeitet die Daten.

In deinem Fall schickt das Skript keine E-Mail ab, sondern verändert irgendwas an der Datenbank.

Ich hab leider gerade keinen Musterlink parat, aber da findet sich bestimmt sehr schnell etwas. Um die Sicherheit im Auge zu behalten, lege ich dir nahe nach "prepared statements" zu suchen. Wenn du da einmal drin bist, dann wirst du sehr schnell merken, dass es nicht nur sicherer, sondern auch übersichtlicher ist.

 

[didi01]

@msa1989,

Hi,
ich werde den Ansatz mit Ajax mal verfolgen. Da ich mich damit aber erst einarbeiten muss und es im aktuellen Fall etwas schneller gehen soll, habe ich schon eine andere Lösung parat (Neuaufruf der Seite).

Nochmals vielen Dank die Hilfe.
Gruß
didi01