Wohin ging der Bericht? php to mysql

Question

Der folgende ist ein Bericht, den ich versuche, an die Datenbank zu senden. Der PHP-Code funktioniert gut, glaube ich, wie die Zeile erstellt wird. Die Spalte reportdata ist jedoch immer leer. Der Säulentyp ist varchar. Liegt es daran, dass der Bericht mit # beginnt? Der folgende Aufruf erstellt eine Zeile, aber nichts in der Berichtsdatenspalte. Die Autoinkrement-ID wird angegeben.

http://www.someaddress.com/savereport.php?reportdata=#98#1#4#14#3#48#8#88#04/06/2016%2008:05:54%20PM 

Wenn ich den Bericht in Basistext ändern, funktioniert es. Was ist los?

http://www.someaddress.com/savereport.php?reportdata=basictext 

Hier ist der PHP-Code, der das Zeug hat:

mysqli_set_charset($dbc, 'utf8'); 

$reportdata = mysqli_real_escape_string($dbc, $_GET['reportdata']); 

$query = "INSERT INTO `onwordreports`(`reportdata`) VALUES ('$reportdata')"; 

$result = mysqli_query($dbc, $query) or trigger_error("Veri yükleme başarısız: " . mysqli_error($dbc)); 

echo $result; 

mysqli_close($dbc); 

Answer 1

ich mit den Warnungen zustimmen werde, dass dies ein sehr schlechter Weg, dies zu umgehen. Selbst mit mysql_real_escape_string haben Sie immer noch deutliche Bedenken für die Injektion.

Da Sie bereits mysqli verwenden, ist der Wechsel zu vorbereiteten Anweisungen fairly trivial.

Jetzt, mit dem gesagt ... Ich würde einfach eine echo ("$reportdata"); machen, um zu sehen, welchen Wert es tatsächlich versucht einzufügen. Nehmen Sie diesen Wert und führen Sie die Abfrage manuell aus - erhalten Sie Fehler? Sie können sehen, wie mysqli_real_escape_string die Eingabe bereinigt und Sie sehen können, ob dies die Abfrage unterbricht.