Как отключить инфу об ошибках MySQL?

Question

Делаю проверку на существование строки:

$check = mysql_fetch_array(mysql_query("SELECT * FROM `table` WHERE `type`='".$type."'"));
if(isset($check['id'])) {
...
}

Если не существует - выводит на страницу ошибку:

Warning: mysql_fetch_array() expects parameter 1 to be resource, boolean given

Как от этого избавится и есть ли тут уязвимость?

Юзайте PDO. – Олег Архипов Jul 07 '12 at 19:49 — Олег Архипов, Jul 07 '12 at 19:49

Deonis · Answer 1 · 2012-07-08T11:08:06.087

Зачем все в одну строчку делать?

$res = mysql_query("SELECT * FROM `table` WHERE `type`='".$type."'");
if(mysql_num_rows($res) > 0){
    $check = mysql_fetch_array($res);
    echo $check['id'];
}

В этом случае, вам уже не надо проверять $check['id']

UPD Вчера не заметил в вашем вопросе по поводу уязвимостей. Не буду особо оригинальным и так же посоветую перебираться на PDO. Ну, а если использовать обычный подход для работы с БД, то конечно же надо обрабатывать данные при записи в БД: как минимум mysql_real_escape_string(), НО не менее важно экранировать на выводе. Например:

echo htmlspecialchars($check['text']);

Спасибо, буду изучать PDO – rimlin Jul 08 '12 at 16:40 — rimlin, Jul 08 '12 at 16:40

chip101 · Answer 2 · 2012-07-07T19:35:32.473

1

уязвимость безусловно есть, вы пихаете переменную прямо в запрос к бд.. (про инъекции забыли?) pdo вам в помощь. далее - в $check надо писать результат mysql_query, потом проверять, потом делать выборку (в зависимости от результата)

edited Jul 07 '12 at 19:35

answered Jul 07 '12 at 19:31

chip101

521

уязвимость остается даже тогда, когда все заэкранировано? – rimlin Jul 07 '12 at 19:53
конечно, экранирование не панацея поверьте – chip101 Jul 07 '12 at 20:25

Зоркий · Answer 3 · 2012-07-07T19:24:07.047

0

Перед вставкой $type в запрос переменную нужно обработать, в зависимости от её типа должна быть соответствующая проверка, тогда всё будет безопасно, если int, например

if(intval($type)!=0) { $check = mysql_fetch_array(mysql_query("SELECT * FROMtableWHEREtype='$type'")); if(isset($check['id'])) {...} }

если строка

if(!empty(mysql_real_escape_string($type))) { $check = mysql_fetch_array(mysql_query("SELECT * FROMtableWHEREtype='$type'")); if(isset($check['id'])) {...} }

edited Jul 07 '12 at 19:24

answered Jul 07 '12 at 19:20

Зоркий

2,789
16
25

Проверки уже есть и на запрос идет строка с уже имеющимся данными, но в таблице этой строки он не находит и выводит ошибку. – rimlin Jul 07 '12 at 19:27

Как отключить инфу об ошибках MySQL?

3 Answers3