PHP login - kaskas ne taip

[varkeAntLimono]

Sveiki, darau login ir reik pagalbos

Citata

<?php
session_start();
$SQL_HOST = "localhost";
$SQL_USER = "kiausingalvis";
$SQL_PASS = "xx123xx123xx123";
$SQL_DB   = "PAGE";

$db = mysqli_connect($SQL_HOST, $SQL_USER, $SQL_PASS, $SQL_DB);
if (!$db) {
    echo "Nepavyko prisijungti prie duombazes";
    exit;
}

if(isset($_POST['vartotojas'] and $_POST['slaptazodis']))
{

  $err = array();
  if(!count($err))
  {
    //$_POST['vartotojas'] = mysql_real_escape_string($_POST['username']);
    //$_POST['slaptazodis'] = mysql_real_escape_string($_POST['password']);

  $vartotojas   =   $_POST['vartotojas']; 
  $slaptazodis  =   $_POST['slaptazodis']; 


    $lrow = mysql_fetch_assoc(mysql_query($db, "SELECT id, vartotojas FROM nariai WHERE vartotojas='$vartotojas' AND slaptazodis='$slaptazodis'"));

    if($lrow['vartotojas'])
    {
      $_SESSION['vartotojas']=$lrow['vartotojas'];
      $_SESSION['id'] = $lrow['id'];

    }
    else $err[]='Netinkamas vartotojo vardas arba slaptazodis!';
  }

  header("Location: index.php");
  exit;
}
    
?>

kas cia ne to? HTML ERROR 500 meta

 

[Freddy]

Ar tikrai teisingai suvedei?

$SQL_HOST = "localhost";
$SQL_USER = "kiausingalvis";
$SQL_PASS = "xx123xx123xx123";
$SQL_DB   = "PAGE";

 

 

[varkeAntLimono]

4 minutes prieš, Freddy parašė:

Ar tikrai teisingai suvedei?

$SQL_HOST = "localhost";
$SQL_USER = "kiausingalvis";
$SQL_PASS = "xx123xx123xx123";
$SQL_DB   = "PAGE";

 

 

taip, gal gali skype? nueisim i skype parodysiu biski

[Freddy]

Nenaudoju tik discord

[varkeAntLimono]

1 minute prieš, Freddy parašė:

Nenaudoju tik discord

Tada i a.z. varom

[Pyazo]

Vertėtų apsaugoti kodą nuo mysql injection, kadangi dabar į laukelius įvedus atitinkamas reikšmes, galima lengvai ištrinti visą duomenų bazę

[Tuk1s]

Prieš 1 valandą, Vend.lt parašė:

Vertėtų apsaugoti kodą nuo mysql injection, kadangi dabar į laukelius įvedus atitinkamas reikšmes, galima lengvai ištrinti visą duomenų bazę

Gal pasidalinsi žiniomis kaip tai padaryti?  praverstų ir man.

[Pyazo]

prieš 3 valandas(-ų), Tukas14 parašė:

Gal pasidalinsi žiniomis kaip tai padaryti?  praverstų ir man.

Visų pirma duomenis iš post, get ir kitų metodų reikėtų išgaudinėti su funkcija:

$kintamasis = filter_input(INPUT_POST, "kintamasis");

Toliau, vykdant SQL užklausas vertėtų naudoti escape, mysql ir mysqli (ne pdo) versijoje:

$kintamasis = mysql_escape_string($kintamasis);

Ir tada gali saugiai naudoti kintąmąjį, per pdo funkcija:

$handler = mysql_class::prepare('UPDATE something WHERE col = :kintamasis');
$handler->bindValue(':kintamasis', $kintamasis);
$handler->execute();

 

[Tuk1s]

On 2017-05-14 at 18:57, Vend.lt parašė:

Visų pirma duomenis iš post, get ir kitų metodų reikėtų išgaudinėti su funkcija:

$kintamasis = filter_input(INPUT_POST, "kintamasis");

Toliau, vykdant SQL užklausas vertėtų naudoti escape, mysql ir mysqli (ne pdo) versijoje:

$kintamasis = mysql_escape_string($kintamasis);

Ir tada gali saugiai naudoti kintąmąjį, per pdo funkcija:

$handler = mysql_class::prepare('UPDATE something WHERE col = :kintamasis');
$handler->bindValue(':kintamasis', $kintamasis);
$handler->execute();

 

Dėkingas labai :DD