2

Estou executando o seguinte código php:

require_once "config.php";
$pagina = $_POST['pagina'];
$conteudo = $_POST['edit'];
//mysql_query("DELETE FROM $pagina WHERE 1") or die("alguma coisa deu errado".mysql_error());
//mysql_query("INSERT INTO $pagina (`conteudo`) VALUES ('$conteudo')");
mysql_query("UPDATE '$pagina' SET 'conteudo'='$conteudo' WHERE 1") or die("erro: ".mysql_error());

Ele fala que a syntax está errada mais não vejo porque, print do erro:
http://prntscr.com/2xx499
Ou:

erro: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''home' SET 'conteudo'='asx' WHERE 1' at line 1

1
  • 1
    Agora que reparei: a query passa o nome da tabela numa variável $pagina, recebida por POST. Além de isso não ser possível de parametrizar de maneira adequada (ver resposta do Kaminari), indica uma estrutura meio estranha, onde cada página é uma tabela. Se for isso mesmo, recomendo repensar a estrutura do seu banco.
    – bfavaretto
    Commented 4/09/2014 às 13:12

2 Respostas 2

11

O erro está no uso de aspas simples em torno dos nomes da tabela e da coluna. A query correta seria:

"UPDATE $pagina SET conteudo='$conteudo' WHERE 1"

##Porém, nunca, nunca, nunca, nunca use uma variável vinda do POST na query como você fez, ou seu banco de dados ficará EXTREMAMENTE vulnerável a invasões.

Como eu já comentei em outra pergunta recente sua, também é altamente recomendável deixar de usar as funções mysql_*, que foram descontinuadas. Use o mysqli, ou o PDO. Mais detalhes em Como prevenir injeção de código SQL no meu código PHP?.

4
  • Pode me indicar algum post ou referencia acerca de variável vinda do POST na query que fale mais detalhadamente sobre esse assunto
    – user60252
    Commented 21/12/2018 às 19:52
  • Eu indicaria a própria pergunta linkada no fim da minha resposta. O ponto é SQL injection. Se você concatena valores fornecidos pelo usuário diretamente numa query, ela fica sujeita a injeção. A solução mais simples é usar prepared statements.
    – bfavaretto
    Commented 22/12/2018 às 1:23
  • Sim, eu queria um exemplo para entender como usando POST na query se fica vulnerável.
    – user60252
    Commented 22/12/2018 às 1:29
  • Exemplo: pt.stackoverflow.com/a/63453. E não se trata só de POST, toda entrada de usuário tem potencial para injeção de SQL.
    – bfavaretto
    Commented 22/12/2018 às 2:33
2

O seu código ficaria próximo a este exemplo abaixo com PDO:

try {
  $conn = new PDO('dns', 'user', 'pass', array(PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION));
  $stm = $conn->prepare('UPDATE nomeTabela SET conteudo = :conte');
  $stm->bindValue(':conte', $_POST['edit'], PDO::PARAM_STR);
  $stm->execute();
} catch (Exception $e) {
  die($e->getMessage());
}

Com este código você evita vários problemas de SQL Injection conforme já foi apontado pelo bfavaretto.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .