SQL-Tabelle mit PHP aktualisieren

Question

Ich habe eine Tabelle (core_customer_information) und ich möchte eine SQL-Abfrage in PHP erstellen, die die Variable $ code verwendet und aktualisiert das aktivierte Feld in meiner Tabelle.

$code = mysqli_real_escape_string($conn, $_GET['code']); 

$check = mysqli_query("SELECT * FROM core_customer_information WHERE activation_code='$code' AND activated='1' "); 

     if (mysqli_num_rows($check) == 1) 
     { 
      die ('The account has already been activated'); 
     } 
     else 
     { 
      $activate = mysqli_query("UPDATE core_customer_information SET activated='1' WHERE activation_code='$code'"); 
      echo ('Your account has know been activated <br>'); 
      echo $code; 
     } 

Zunächst einmal, überprüfe ich, ob die gleich 1 aktiviert ist, in welchem ​​Fall das Konto eingestuft wird als aktiviert, und wenn nicht, ich erstelle dann eine UPDATE-Abfrage das aktivierte Feld dieser Klasse zu aktualisieren.

Mein Problem ist, dass die Abfrage meine Tabelle nicht aktualisiert und ich bin nicht sicher, wo das Problem liegt.

Ich würde mich freuen, wenn jemand mich bitte suchen könnte.

Answer 1

Ich würde Sie empfehlen mysqli_real_escape_string verwenden, da es die Zeichenfolge unter Berücksichtigung entkommt die aktuelle Verbindung charset wie von der Seite angegeben:

Diese Funktion eine rechtliche SQL-Zeichenfolge zu erstellen, die Sie in einem verwenden können SQL-Anweisung Die angegebene Zeichenfolge wird in eine Escape-SQL-Zeichenfolge codiert, wobei der aktuelle Zeichensatz der Verbindung berücksichtigt wird.

meisten MySQL-Injektionsverfahren vermeiden Sie Folgendes tun sollten:

$code = mysqli_real_escape_string($link, $_GET['code']); 

---

Wenn Sie einen Adapter wie ADODB oder ein anderes verwenden sollte jemals, würde ich empfehlen Sie vorbereitete Anweisungen verwenden und ihre Methoden zum Verhindern der SQL-Injektion.

Answer 2

Es ist nicht völlig klar, aus Ihrer Frage, welche Sprache Sie die SQL-Abfragen zu starten verwenden werden (da die Tags nur im Moment SQL und MySQL sind ...)

Wenn aber die Sprache ist ähnlich wie Java Dann können Sie etwas Ähnliches wie PreparedStatement von Java verwenden. (Siehe https://docs.oracle.com/javase/7/docs/api/java/sql/PreparedStatement.html)

Ein PreparedStatement ist sicherer als eine einfache Verkettung dynamischer Variablen in SQL-Strings.