Probleme mit update

[JansonChristian]

Hi,

hab jetzt den spaw editor verstanden.
Hab jetzt aber ein neues problem an dem ich fast die ganze nacht gearbeitet habe, leider ohne erfolg.

Der Text des Spaweditors wird mit $HTTP_POST_VARS['spaw3'] übergeben.

Nun möchte ich meine SQLtabelle ändern, und zwar so:

PHP-Code:

if ($_POST['Submit']) {
   $besch=$HTTP_POST_VARS['spaw3'];
   $sql = "UPDATE anzeigen 
        SET beschreibung=$besch
        WHERE anzeigen_id = $anz_id"; 
        $rs = mysql_query($sql)or die(mysql_error()); 


Aber irgendwie funktioniert das nicht, er bringt mir die Fehlermeldung:

Unknown column 'ddd' in 'field list'

Wenn ich zum Beispiel "ddd" eingebe.

Kann mir jemand weiter helfen?

MFG
Christian

Nachtrag:

Hab den fehler gefunden, man sollte doch öfter mal ne pause machen, muß natürlich $besch in anführungzeichen setzten.

[xabbuh]

Da die Variable $besch eine Zeichenkette enthält, musst du diese in deiner Abfrage in Hochkommata setzen, da MySQL ansonsten "denkt", dass du einen Spaltennamen übergeben willst.
Außerdem ist es äußerst unsicher, Benutzereingaben völlig unkontrolliert zu verarbeiten. Hier empfiehlt es sich auf jeden Fall, die Funktion mysql_real_escape_string() zu verwenden.

[JansonChristian]

Auf der Seite sthet nur wie man einen Datensatz abfrägt, aber nicht wie man ihn sicher speichert.

Oder kann man den Text vorher prüfen?

[xabbuh]

Zitat von JansonChristian

Auf der Seite sthet nur wie man einen Datensatz abfrägt, aber nicht wie man ihn sicher speichert.

Es ist ja letztendlich egal, ob du die Zeichenkette, in der du die speziellen Zeichen mit mysql_real_escape_string() maskiert hast, zum Zusammenbauen einer UPDATE- oder eine SELECT-Abfrage benutzt.

[JansonChristian]

Also kann ich es auch so machen :

PHP-Code:

<?php
$besch=$HTTP_POST_VARS['spaw3'];
$safebesch = mysql_real_escape_string($besch);
// und dann updaten

oder?

[xabbuh]

Ja, allerdings solltest du $_POST statt $HTTP_POST_VARS verwenden.