インプレイスエディタ - 場所プラグインのjQuery編集

Question

私は変更された値をデータベースに提出する方法を理解しようとしていますが、これまでのところ大したことはありませんでした。私は間違って何をしているかについての任意のアイデアですか？

JSファイル：

$("#editme5").editInPlace({ 
    /*saving_animation_color: "#ECF2F8", 
    callback: function(idOfEditor, enteredText, orinalHTMLContent, settingsParams, animationCallbacks) { 
     animationCallbacks.didStartSaving(); 
     setTimeout(animationCallbacks.didEndSaving, 2000); 
     return enteredText; 
    },*/ 
    url: "server.php", 
    params: "name=BUSINESS_NAME" 
}); 

PHPファイル：

include('database.php'); 
$_GET['name']; 
$_NAME=$_GET['name']; 

$update = $_POST['update_value']; 
$insert = "UPDATE CLIENTS SET ".$_NAME."='".$update."'"; 
mysql_query($insert) or die (mysql_error()); 

Answer 1

変更してみてください：

include('database.php'); 
$_GET['name']; 
$_NAME=$_GET['name']; 

へ：

include('database.php'); 
$_NAME=$_POST['name']; 

ドキュメントは言う：

インプレースエディタのフォームが送信されると、それは3つの フォームフィールド

によってとともにエディタのパラメータで指定されたURLを するPOSTリクエストを送信しますGETリクエストが来ると期待していましたが、プラグインはPOSTリクエストを使用して値を送信します。それがここの犯人です。

また、Marc B氏のコメントにも注意してください。このコードは、SQLインジェクション攻撃に対して非常に脆弱です。それはあまりvunerableようにするには、少なくともmysql_real_escape_string()（より：http://php.net/manual/pl/function.mysql-real-escape-string.php）を使用するか、プリペアドステートメント（良いチュートリアル：http://www.ultramegatech.com/2009/07/using-mysql-prepared-statements-in-php/）を使用します。

Answer 2

詳細についてはhttp://php.net/manual/en/function.mysql-real-escape-string.phpを参照してくださいmysql_real_escape_stringでSQLインジェクション穴を固定

おかげ