编辑其他用户的用户信息

Question

对不起，我是 PHP MYSQL 的初学者。 我想问这将如何工作。我可以知道如何解决这个问题或我将添加什么代码？

场景： 我们有用户类型 ADMIN 和 NORMAL USER， 我创建了 edit.php 以将用户帐户编辑为 ADMIN 以防万一密码丢失等，但我遇到的问题是当我单击特定表中的编辑按钮时。

见下图，我在这里以管理员身份登录，employee.php。 所以我选择了id为22的用户testFN

我在这里用来获取 id 的代码在这里：

<td><a href="edit.php?id=<?php echo $row['user_id']; ?>" >Edit</a></td>

当我点击 EDIT 按钮时，它会打开页面 edit.php，带有这个 url

所以我的结果不等于我想要的，输入框的信息来自我正在使用/登录的用户，而不是来自我选择编辑的用户。

我用来EDIT.PHP的代码在这里：

<?php
session_start();
include_once 'dbconnect.php';

if(!isset($_SESSION['user']))
 { header("Location: edit.php");  }

$res=mysql_query("SELECT * FROM accounts WHERE user_id=".$_SESSION['user']);
$userRow=mysql_fetch_array($res);

if(isset($_GET['user'])) {

$id = $_GET['user'];

if(isset($_POST['submit'])) {

$pass = md5(mysql_real_escape_string($_POST['pass']));
$aFName = mysql_real_escape_string($_POST['aFName']);
$aLName = mysql_real_escape_string($_POST['aLName']);
$aMName = mysql_real_escape_string($_POST['aMName']);
$aContact = mysql_real_escape_string($_POST['aContact']);
$aAddress = mysql_real_escape_string($_POST['aAddress']);
$aGender = mysql_real_escape_string($_POST['aGender']);
$utype = mysql_real_escape_string($_POST['utype']);

$query3=mysql_query("UPDATE accounts SET pass='$pass', agentFName ='$aFName', agentLName = '$aLName', 
    agentMName = '$aMName', agentContact = '$aContact', agentAddress = '$aAddress', 
    agentGender = '$aGender', user_type = '$utype'  ");

if($query3) 
 {  header("Location: home.php"); }
    }//end of post sumbit
 }//end of GET
 ?>

   /** HTML IS HERE **/

 Agent ID: <input type="text" id="agentCode" name="agentCode" required="required" value="<?php echo $userRow['user_id']; ?>"  >

 First Name: <input type="text" id="agentCode" name="aFName" required="required" value="<?php echo $userRow['agentFname']; ?>"  >

 Middle Name: <input type="text" id="agentCode" name="aMName" required="required" value="<?php echo $userRow['agentMname']; ?>"  >

 Last Name: <input type="text" id="agentCode" name="aLName" required="required" value="<?php echo $userRow['agentLname']; ?>"  >

Answer 1

这是您为该文本输入设置值的地方：

value="<?php echo $userRow['user_id']; ?>"

$userRow 来自哪里？这个：

$userRow=mysql_fetch_array($res);

使用什么查询来获取数据？这个：

$res=mysql_query("SELECT * FROM accounts WHERE user_id=".$_SESSION['user']);

所以...您专门从登录会话用户那里获取数据，而不是从查询字符串中指定的用户那里获取数据。只需使用查询字符串值而不是会话值即可。

重要：

1. 直接在 SQL 查询中使用用户提供的值称为 SQL 注入漏洞。这是一件非常糟糕的事情。您将要使用查询参数和准备好的语句。 This is a good place to start reading。

2. 您真的想要检查登录用户是否授权在允许他们这样做之前编辑指定的用户。任何用户都可以手动添加/更改查询字符串值或 POST 值或基本上来自客户端的任何内容。