保存带有井号的文本 (Javascript - PHP - MySQL)答案

【问题标题】：Saving text with an hash mark (Javascript - PHP - MySQL)保存带有井号的文本 (Javascript - PHP - MySQL)
【发布时间】：2014-12-23 15:44:04
【问题描述】：

我正在编写简单的 AJAX 函数来将 cmets 发送到服务器并使用 php 将它们保存在 mySQL 数据库中。

以下代码对于我的目的来说似乎工作得很好，基本但完成了他的工作，直到我尝试在评论中放置一个井号 (#)。将其插入文本“崩溃”我的函数，而没有将书面文本保存在数据库中并基本上返回一个空 div。

这是 ajax 调用：

  function sendComment(n){
    var xmlhttp = createAjax();

    var text = document.getElementById("f"+n).value;
    if (!validation(text))
       return false;

    xmlhttp.onreadystatechange = function () {
      if (xmlhttp.readyState==4 && xmlhttp.status==200){
        appendComment(n, xmlhttp.responseText);
       }
    }
    ...
    url = "comments.php?news="+n+"&text="+text;
    xmlhttp.open("GET", url, true);
    xmlhttp.send();
    ...
  }

createAjax 标准只是为每个浏览器创建 xmlhttp 对象，而验证是一个检查许多符号的函数，例如 ,=,(,),|使用正则表达式。

这是php部分：

 function insertComment($text, $news){
    $conn = dbConnect();

    $user = $_SESSION["user"];
    $text = nl2br(htmlentities($text));
    $date = date("Y-m-d H:i:s");
    $sql = "INSERT INTO comments(user, news, date, text) VALUES ('".$user."','".$news."','".$date."', '".$text."')";
    mysql_query($sql) or die ("Errore in inserimento: ".sql_error());
    echo writeSingleComment($user, $date, $text);
    mysql_close(conn);
}

它只是连接，保存注释并返回带有echo的html代码，以便javascript函数可以打印它。

这显然适用于任何文本，但我无法让它与哈希一起使用，我错过了什么吗？旁注，我可以简单地将符号添加到验证常规表达式中，但我的意思是“打印”它，而不仅仅是排除它。提前致谢！旁注 2，javascript 将注释附加到静态元素。

【问题讨论】：

"我错过了什么吗" — 获取带有哈希的数据并将其放入 HTTP 请求的代码。
危险：您使用的是an obsolete database API，应该使用modern replacement。您可能也容易受到SQL injection attacks的影响，现代 API 可以让您更轻松地从 defend 中获得。
我只是写了 /*open send etc..*/ 为了让它更快，让我用完整的代码编辑
我明白了，但是我不能更改 MySQL 部分，因为它不是我的选择，它必须保持这样，不过感谢警告！

标签： javascript php mysql ajax

【解决方案1】：

url = "comments.php?news="+n+"&text="+text;

您没有转义您放入 URL 中的任何数据。

有些字符有特殊含义，例如& 分隔查询部分，# 开始片段标识符。

在将输入添加到 URL 之前，您需要通过 encodeURIComponent() 运行输入。

url = "comments.php?news=" + encodeURIComponent(n) + "&text=" + encodeURIComponent(text);

【讨论】：

【解决方案2】：

许多字符（例如 #）不是 SQL 安全的，需要转义至少你需要使用

var toSend = escape(mystring);

这不会保护免受攻击，但会让你走上正轨。

【讨论】：

escape 已弃用且不安全。它不应该被使用。 # 是 SQL 安全的（至少在这种情况下），' 会有问题，但需要在 PHP 而不是 JS 中解决。
同意，但它明白了，在发送到数据库之前需要对字符串进行转义
这里的问题与数据库无关（这是代码遇到的另一个问题）。这与将数据放入 URL 中有关。