Auf Thema antworten 2026

Beitrag

<blockquote data-quote="d3mueller" data-source="post: 2367627" data-attributes="member: 568927">Hi, ich bin am überlegen, was die beste und unkomplizierteste Möglichkeit ist, die Queries für SQL sicher zu machen. Es muss nicht bis ins letzte durchdacht und unglaublich kompliziert und verstrickt sein^^.Früher habe ich immer so was wie mysqli_real_escape_string benutzt. Aber jetzt bin ich auf &quot;prepared statements&quot; gestoßen. Das soll ja ziemlich sicher sein, zumindest habe ich das so gelesen.Nur ist es so:Bisher habe ich (für die &quot;internen&quot; Funktionen, auf dessen Werte die User keinen Einfluss haben) eine query()-Methode benutzt. Die geht einfach so, dass ich als ersten Parameter das SQL schicke und als 2. Parameter den Rückgabetyp, z.B. das Array mit den Inhalten aus der Datenbank.Jetzt dann diese Prepared-Statements zu benutzen würde das ja komplett umstellen. Die query()-Methode könnte ich so ja gar nicht mehr benutzen.Meine Fragen:1. Ist es wirklich nötig, prepared statements zu verwenden? Oder ist das ein unnötiger Aufwand?Weil ich halt alles umbauen müsste und ich dann nicht mehr so &quot;bequem&quot; Queries ausführen könnte.2. Bei mir funktioniert es nicht. Wenn ich schreibe:Call to undefined method Database:<img src="/styles/default/xenforo/smilies/tongue.gif"&nbsp; class="smilie" loading="lazy" alt=":p" title="Stick Out Tongue&nbsp; &nbsp; :p" data-shortname=":p" />repare()Ich weiß jetzt nicht, welche Stelle im Code dafür wichtig ist. Hier sind mal die beiden Datenbank-Klassen, die ich benutze. die erste, abstract, Klasse ist da, damit die ganzen &quot;externen&quot; Klassen Zugriff auf das Datenbank-Objekt haben. Also alle anderen Klassen werden damit erweitert[PHP]class Buildings extends DatabaseBased {...}[/PHP][PHP]abstract class DatabaseBased {&nbsp;&nbsp; protected static $database;&nbsp;&nbsp; &nbsp; public static function setDatabase(Database $database)&nbsp; &nbsp; {&nbsp; &nbsp; self::$database = $database;&nbsp; &nbsp; }}class Database{&nbsp;&nbsp; public $connection;&nbsp;&nbsp;&nbsp;&nbsp; public function __construct($host, $user, $password, $database) {&nbsp; &nbsp;&nbsp; $this-&gt;connection = mysqli_connect($host, $user, $password, $database);&nbsp; &nbsp;&nbsp; if (mysqli_connect_errno()) {&nbsp; &nbsp; &nbsp;&nbsp; throw new Exception(__METHOD__.&#039;::&#039;.mysqli_connect_error());&nbsp; &nbsp;&nbsp; }&nbsp; &nbsp;&nbsp; // Die jetzt erstellte Instanz wird in DatabaseBased gespeichert&nbsp; &nbsp;&nbsp; DatabaseBased::setDatabase($this);&nbsp;&nbsp; }&nbsp;&nbsp;&nbsp; public function close() {&nbsp; &nbsp;&nbsp; if (!$this-&gt;connection) return false;&nbsp; &nbsp;&nbsp; $this-&gt;connection-&gt;close();&nbsp;&nbsp; }&nbsp;&nbsp;&nbsp; public function query($sql, $return=&#039;affected&#039;, $result_mode=MYSQLI_USE_RESULT) {&nbsp; &nbsp;&nbsp; $data = array();&nbsp;&nbsp; &nbsp; &nbsp;&nbsp; if ($result = $this-&gt;connection-&gt;query($sql, $result_mode)) {&nbsp; &nbsp; &nbsp;&nbsp; if ($return==&#039;affected&#039;){ $data = $this-&gt;connection-&gt;affected_rows; }&nbsp; &nbsp; &nbsp;&nbsp; elseif ($return==&#039;num&#039;){ $data = mysqli_num_rows($result); }&nbsp; &nbsp; &nbsp;&nbsp; elseif ($return==&#039;id&#039;){ $data = $this-&gt;connection-&gt;insert_id; }&nbsp; &nbsp; &nbsp;&nbsp; elseif ($return==&#039;assoc&#039;){ while ($row = $result-&gt;fetch_assoc()) $data[] = $row; }&nbsp; &nbsp; &nbsp;&nbsp; elseif ($return==&#039;numeric&#039;){ while ($row = $result-&gt;fetch_assoc()) $row = $result-&gt;fetch_array(MYSQLI_NUM); }&nbsp; &nbsp; &nbsp;&nbsp; elseif ($return==&#039;fields&#039;){ while ($row = $result-&gt;fetch_fields()) $data[] = $row; }&nbsp; &nbsp; &nbsp;&nbsp; elseif ($return== &#039;ressources&#039;) { while($row = $result-&gt;fetch_assoc()) $data[$row[&quot;ressourceId&quot;]] = $row; }&nbsp; &nbsp; &nbsp;&nbsp; else { while($row = $result-&gt;fetch_assoc()) $data[$row[$return]] = $row; }&nbsp; &nbsp; &nbsp;&nbsp; if (is_object($result)) $result-&gt;close();&nbsp; &nbsp;&nbsp; } else {&nbsp; &nbsp; &nbsp;&nbsp; throw new Exception(__METHOD__.&#039;::&#039;.$this-&gt;connection-&gt;error.&#039;::&#039;.$sql);&nbsp; &nbsp;&nbsp; }&nbsp; &nbsp;&nbsp; return $data;&nbsp;&nbsp; }&nbsp;&nbsp;&nbsp; public function startTransaction()&nbsp;&nbsp; {&nbsp; &nbsp; if (!$this-&gt;connection) return false;&nbsp; &nbsp; $ok = $this-&gt;query(&quot;SET AUTOCOMMIT=0&quot;);&nbsp; &nbsp; return ($ok &amp;&amp; $this-&gt;query(&quot;START TRANSACTION&quot;));&nbsp;&nbsp; }&nbsp;&nbsp; public function commit()&nbsp;&nbsp; {&nbsp; &nbsp; if (!$this-&gt;connection) return false;&nbsp; &nbsp; if (!$this-&gt;query(&quot;COMMIT&quot;)) return false;&nbsp; &nbsp; $this-&gt;query(&quot;SET AUTOCOMMIT=1&quot;);&nbsp; &nbsp; return true;&nbsp;&nbsp; }&nbsp;&nbsp; public function rollback()&nbsp;&nbsp; {&nbsp; &nbsp; if (!$this-&gt;connection) return false;&nbsp; &nbsp; if (!$this-&gt;query(&quot;ROLLBACK;&quot;)) return false;&nbsp; &nbsp; $this-&gt;query(&quot;SET AUTOCOMMIT=1&quot;);&nbsp; &nbsp; return true;&nbsp;&nbsp; }&nbsp;}[/PHP]Ich glaube, die Fehlermeldung kommt, weil ich das Datenbank-Objekt an sich anspreche, und die die eigentliche Verbindung zur Datenbank. Aber ich schaff es nicht, das hinzubekommen. Habt ihr Ideen?Irgendwie will es heute absolut nicht klappen. Ich hock schon ewigkeiten davor und schaff es nicht. Hab auch schon im Internet geschaut. Heute ist absolut nicht mein Tag^^Ich hoffe ich habe jetzt keine Angaben vergessen, falls ja, dann sorry^^Dann werde ich es noch nachreichenVielen Dank schon malLGEDIT:Okay, das oben beschriebene Problem habe ich gelöst. War gestern irgendwie zu blöd. War ganz einfach.Das Problem, welches ich jetzt habe, ist folgende Fehlermeldung:Call to undefined method mysqli_stmt::get_result()Wenn ich schreibe[PHP]$result = $stmt-&gt;get_result();[/PHP]Habe gelesen, dass man dafür erst einen Treiber auf dem Webspace installieren muss. Das kann ich (glaube ich) bei strato nicht. Also fallen prepared statements ja schon weg :/Gibt es noch andere Möglichkeiten?</blockquote>

[QUOTE="d3mueller, post: 2367627, member: 568927"] Hi, ich bin am überlegen, was die beste und unkomplizierteste Möglichkeit ist, die Queries für SQL sicher zu machen. Es muss nicht bis ins letzte durchdacht und unglaublich kompliziert und verstrickt sein^^. Früher habe ich immer so was wie mysqli_real_escape_string benutzt. Aber jetzt bin ich auf "prepared statements" gestoßen. Das soll ja ziemlich sicher sein, zumindest habe ich das so gelesen. Nur ist es so: Bisher habe ich (für die "internen" Funktionen, auf dessen Werte die User keinen Einfluss haben) eine query()-Methode benutzt. Die geht einfach so, dass ich als ersten Parameter das SQL schicke und als 2. Parameter den Rückgabetyp, z.B. das Array mit den Inhalten aus der Datenbank. Jetzt dann diese Prepared-Statements zu benutzen würde das ja komplett umstellen. Die query()-Methode könnte ich so ja gar nicht mehr benutzen. Meine Fragen: 1. Ist es wirklich nötig, prepared statements zu verwenden? Oder ist das ein unnötiger Aufwand?Weil ich halt alles umbauen müsste und ich dann nicht mehr so "bequem" Queries ausführen könnte. 2. Bei mir funktioniert es nicht. Wenn ich schreibe: Call to undefined method Database::prepare() Ich weiß jetzt nicht, welche Stelle im Code dafür wichtig ist. Hier sind mal die beiden Datenbank-Klassen, die ich benutze. die erste, abstract, Klasse ist da, damit die ganzen "externen" Klassen Zugriff auf das Datenbank-Objekt haben. Also alle anderen Klassen werden damit erweitert [PHP] class Buildings extends DatabaseBased {...} [/PHP] [PHP] abstract class DatabaseBased { protected static $database; public static function setDatabase(Database $database) { self::$database = $database; } } class Database { public $connection; public function __construct($host, $user, $password, $database) { $this->connection = mysqli_connect($host, $user, $password, $database); if (mysqli_connect_errno()) { throw new Exception(__METHOD__.'::'.mysqli_connect_error()); } // Die jetzt erstellte Instanz wird in DatabaseBased gespeichert DatabaseBased::setDatabase($this); } public function close() { if (!$this->connection) return false; $this->connection->close(); } public function query($sql, $return='affected', $result_mode=MYSQLI_USE_RESULT) { $data = array(); if ($result = $this->connection->query($sql, $result_mode)) { if ($return=='affected'){ $data = $this->connection->affected_rows; } elseif ($return=='num'){ $data = mysqli_num_rows($result); } elseif ($return=='id'){ $data = $this->connection->insert_id; } elseif ($return=='assoc'){ while ($row = $result->fetch_assoc()) $data[] = $row; } elseif ($return=='numeric'){ while ($row = $result->fetch_assoc()) $row = $result->fetch_array(MYSQLI_NUM); } elseif ($return=='fields'){ while ($row = $result->fetch_fields()) $data[] = $row; } elseif ($return== 'ressources') { while($row = $result->fetch_assoc()) $data[$row["ressourceId"]] = $row; } else { while($row = $result->fetch_assoc()) $data[$row[$return]] = $row; } if (is_object($result)) $result->close(); } else { throw new Exception(__METHOD__.'::'.$this->connection->error.'::'.$sql); } return $data; } public function startTransaction() { if (!$this->connection) return false; $ok = $this->query("SET AUTOCOMMIT=0"); return ($ok && $this->query("START TRANSACTION")); } public function commit() { if (!$this->connection) return false; if (!$this->query("COMMIT")) return false; $this->query("SET AUTOCOMMIT=1"); return true; } public function rollback() { if (!$this->connection) return false; if (!$this->query("ROLLBACK;")) return false; $this->query("SET AUTOCOMMIT=1"); return true; } } [/PHP] Ich glaube, die Fehlermeldung kommt, weil ich das Datenbank-Objekt an sich anspreche, und die die eigentliche Verbindung zur Datenbank. Aber ich schaff es nicht, das hinzubekommen. Habt ihr Ideen? Irgendwie will es heute absolut nicht klappen. Ich hock schon ewigkeiten davor und schaff es nicht. Hab auch schon im Internet geschaut. Heute ist absolut nicht mein Tag^^ Ich hoffe ich habe jetzt keine Angaben vergessen, falls ja, dann sorry^^Dann werde ich es noch nachreichen Vielen Dank schon mal LG EDIT: Okay, das oben beschriebene Problem habe ich gelöst. War gestern irgendwie zu blöd. War ganz einfach. Das Problem, welches ich jetzt habe, ist folgende Fehlermeldung: Call to undefined method mysqli_stmt::get_result() Wenn ich schreibe [PHP] $result = $stmt->get_result(); [/PHP] Habe gelesen, dass man dafür erst einen Treiber auf dem Webspace installieren muss. Das kann ich (glaube ich) bei strato nicht. Also fallen prepared statements ja schon weg :/ Gibt es noch andere Möglichkeiten? [/QUOTE]

Bilder bitte hier hochladen und danach über das Bild-Icon (Direktlink vorher kopieren) platzieren.

Authentifizierung

Wenn ★ = 12, ◇ = 4 und die Hälfte von ★ zu ◇ addiert wird, was ist das Ergebnis?