PHP Variable in MYSQL Abfrage integrieren

[andre_m]

Hallo,

ich habe folgende Variable



$zip_code = $HTTP_POST_VARS[zip];
// Variable: $zip_code enthält 5 stellige PLZ aus HTML Formular


Hier nun die Abfrage: alle zip aus der sollen ausgegeben werden die gleich sind mit der Variable $zip_code:


SELECT * FROM mvv WHERE zip = $zip_code (stimmt das?)

String aus der DB ist leer ;(


Gruß,
andre_m

[sagg]

Klick mich

imho solltest du anstelle von $HTTP_POST_VARS nur $_POST verwenden.
Deine Variante haut schon graue Haare.

[andre_m]

hi,

danke für die schnelle antwort

mein konstrukt sieht nun so aus:

$zip_code = $HTTP_POST_VARS[suchen];
$sql = "SELECT * FROM mvv WHERE zip = $zip_code"
$res=send_sql($db,$sql);

while($row = mysql_fetch_array($res))
{
echo "<table class='mvv'><tr><td class='mvv'>"
.$row['zip']."</td><td width='200' class='mvv'> "
.$row['town']."</td><td class='mvv'><a href='http://"
.$row['www']."'>".$row['www']."</a></td></tr></table>
";
}


klappt aber nicht.

es kommt nix raus aus der DB mvv

[sagg]

Hab oben noch was hinzugefügt.

Was sagt mysql_error();?
Testausgaben?

Anbei: lesen!

[andre_m]

es klappt doch!

habe mich nur vertippt.

ok, nochwas - ich suche ja im moment in der db nach einer zahl. was ist, wenn ich für die zip auch einen string zulassen will. zb:

<?php
$sql = "SELECT * FROM mvv WHERE (zip = $search_string) OR (town = $search_string) ORDER BY name";
?>

$search_string könnte also ein int oder ein string sein. geht das?

[sagg]

Original geschrieben von andre_m
$search_string könnte also ein int oder ein string sein. geht das?

Ausprobieren?

Überprüfe vor der Abfrage einfach den Inhalt der Variable und führe dann die dazu passende Abfrage aus.

[andre_m]

Hi,

gebe ich in dem input einen numerischen wert an, wie 12345, klappt die abfrage.

gebe ich zb. bonn ein, kommt folgende fehlermeldung:

Unknown column 'bonn' in 'where clause'

[TobiaZ]

welchen inhalt hat searchstring?

Quotes?
SQL-Injection?

[andre_m]

nachdem ich die Variablen qequotet habe, klappt nun alles.


<?php

$sql = "SELECT * FROM mvv WHERE (zip = '$search_string') OR (town = '$search_string') ORDER BY name";

?>


Danke für Eure Antworten!

[sagg]

Unknown column 'bonn' in 'where clause'

Ich tipp mal auf fehlende Anführungszeichen.


*edit*
Mist, den falschen zitiert.