PHP uredi novico

Naredu sm system za novice pač za na spletno in mi nekak noče uredit novice :S Rabu bi pomoč ko newem ka je narobe :S

<?php

include("config.php");

     if(isset($_POST['submit']))

  {

      $naslov = mysql_escape_string($_POST['naslov']);

      $text1 = mysql_escape_string($_POST['text1']);

      $text2 = mysql_escape_string($_POST['text2']);

 	  $result = mysql_query("UPDATE novice SET naslov='$naslov', text1='$text1', text2='$text2' WHERE ID='$ID' ",$connect);

 

          echo "<b>Novice so bile uspešno urejene<br>Po (3) sekundah boste preusmerjeni na domačo stran!";

          echo "<meta http-equiv=Refresh content=3;url=novice.php>";

}

elseif(isset($_GET['ID']))

{

 

        $result = mysql_query("SELECT * FROM novice WHERE ID='$_GET[ID]' ",$connect);

        while($myrow = mysql_fetch_assoc($result))

             {

                $naslov = $myrow["naslov"];

                $text1 = $myrow["text1"];

                $text2= $myrow["text2"];

?>

<br>

<h3>::Uredi Novico</h3>

 

<form method="post" action="<?php echo $PHP_SELF ?>">

<input type="hidden" name="ID" value="<?php echo $myrow['ID']?>">

 

Naslov: <input name="naslov" size="40" maxlength="255" value="<?php echo $naslov; ?>">

<br>

Avtor: <input name="text1" size="40" value="<?php echo $text1; ?>" >

<br>

Vsebina: <textarea name="text2" rows="7" cols="30"><?php echo $text2; ?></textarea>

<br>

<input type="submit" name="submit" value="Posodobi">

</form>

<?php

              }//konec while zanke


  }//konec else

?>

Hvala že vnaprej ;)

lp, Patrick

vemo sam d ti znamo sql injection nardit

V prvem IF-u ti manjka vrednost $ID-ja:

$result = mysql_query("UPDATE novice SET naslov='$naslov', text1='$text1', text2='$text2' WHERE ID='$ID' ",$connect);

Je pa tole obupna implementacija...

LP,
P

Woče ti powedat da nimaš nkyer $ID=$_GET['ID'] napisan dewd! Implementaciya je pa oboopna kr nimaš lepo poindentanga s tabi, sigurn hoče to rečt.

Tabi so zadnji problem tukaj, haha. :)

Bolj je težava modularnost take skriptice ter funkcionalnostni detajli kot je recimo tale while. Kaj boš, ko bo enkrat notri 1000 novic.

Če ti deluje branje $ID spremenljivke direktno iz $_POST podatkov, pomeni, da se zanašaš na izjemno problematično nastavitev register_globals = on. Tako lahko preko GET podatkov spreminjaš kakšne spremenljivke, če niso ustrezno definirane. PHP 5.3 je to že v celoti opustil.

Aja sem prehitro gledal.