SQL Suche nach Monat und Jahr

Grommel · 23. Dezember 2014, 01:44

Hi,

ich habe da mal ein kleines Problem. Nach dem wechsel der phpBB Standalone SQL Klasse auf PDO will meine SQL Abfrage nicht mehr.
Es sollen alle Beiträge aus dem Monat und Jahr ausgegeben werden. article.php?page=archiv&m=12&y=2014

PHP-Quellcode

public function archiv($month, $year) {
global $lang, $Smarty, $Core;
$ARTICLE_CAT = array();
$last_day = date('t', mktime(0, 0, 0, $month, 1, $year));
$start_date = mktime(0, 0, 0, $month, 1, $year);
$end_date = mktime(23, 59, 59, $month, $last_day, $year);
$sql = "SELECT c.*, p.* FROM " . BLOG_CAT . " c LEFT JOIN " . BLOG_POST . " p on (c.cat_id = p.cat_id) WHERE p.post_date >= '" . $start_date . "' AND p.post_date <= '" . $end_date . "'ORDER BY p.post_time DESC";
$stmt = MyDB::getInstance()->prepare($sql);
$stmt->execute();
while ($row = $stmt->fetch()) {
$row['post_time'] = $Core->userdate($row['post_time']);
$row['post_text'] = ($row['read_position'] > 0) ? substr(htmlspecialchars_decode($row['post_text']), 0, $row['read_position']) : htmlspecialchars_decode($row['post_text']);
$ARTICLE_CAT[] = $row;
}
}

Alles anzeigen

freeek · 23. Dezember 2014, 10:38

Grommel schrieb:

$sql = "SELECT c.*, p.* FROM " . BLOG_CAT . " c LEFT JOIN " . BLOG_POST . " p on (c.cat_id = p.cat_id) WHERE p.post_date >= '" . $start_date . "' AND p.post_date <= '" . $end_date . "'ORDER BY p.post_time DESC";
$stmt = MyDB::getInstance()->prepare($sql);
}
}[/code]

Nach deinem $end_date fehlt ein Leerzeichen, ich schätze, dass es daran scheitert.
Btw. eigentlich möchte PDO die Übergabe von Variablen direkt in einen SQL-String vermeiden.
Lexikon

Active Record · 23. Dezember 2014, 12:09

Moinmoin,

du solltest auch deinen Userinput vorher validieren. Was passiert zum Beispiel mit deiner Anwendung, wenn jemand die Get-Variablen verändert und article.php?page=archiv&m=bc%25snc&y=jd0x5xx5 aufruft.

Grommel · 23. Dezember 2014, 18:02

freeek schrieb:

Nach deinem $end_date fehlt ein Leerzeichen, ich schätze, dass es daran scheitert.
Btw. eigentlich möchte PDO die Übergabe von Variablen direkt in einen SQL-String vermeiden.
Lexikon

Dem ist nicht so. Auch mit Leerzeichen funktioniert dies nicht.

Active Record schrieb:

Moinmoin,
du solltest auch deinen Userinput vorher validieren. Was passiert zum Beispiel mit deiner Anwendung, wenn jemand die Get-Variablen verändert und article.php?page=archiv&m=bc%25snc&y=jd0x5xx5 aufruft.

Es gibt keinen Userinput. Dies ist Intern und ird lediglich durch mich genuztz

freeek · 23. Dezember 2014, 20:39

Was bekommst du als Ergebnis?
Kriegst du eine Fehlermeldung oder einfach kein Ergebnis?
Im ersten Fall wärs gut, wenn du die hier postest, im zweiten Fall würde ich als erstes mal prüfen, ob die Timestamps, die du generierst richtig sind und mal den ganzen SQL-Query ausgeben lassen und direkt in die Datenbank hauen, was eigentlich rauskommen sollte.
Ansonsten wird das hier nur munteres Rästelraten.

PS: Du veränderst mit GET-Parametern den Ablauf eines Skripts, das auch noch mit einer Datenbank arbeitet. Wenn das Teil in irgendeiner Form im Netz ist, musst du es (meiner Meinung nach) sichern, einfach für den Fall, dass einer aus welchem Grund auch immer die Einfallstelle findet.

Grommel · 23. Dezember 2014, 21:15

freeek schrieb:

Was bekommst du als Ergebnis?
Kriegst du eine Fehlermeldung oder einfach kein Ergebnis?
Im ersten Fall wärs gut, wenn du die hier postest, im zweiten Fall würde ich als erstes mal prüfen, ob die Timestamps, die du generierst richtig sind und mal den ganzen SQL-Query ausgeben lassen und direkt in die Datenbank hauen, was eigentlich rauskommen sollte.
Ansonsten wird das hier nur munteres Rästelraten.

PS: Du veränderst mit GET-Parametern den Ablauf eines Skripts, das auch noch mit einer Datenbank arbeitet. Wenn das Teil in irgendeiner Form im Netz ist, musst du es (meiner Meinung nach) sichern, einfach für den Fall, dass einer aus welchem Grund auch immer die Einfallstelle findet.

Es erscheint keine Ausgabe und keine Fehlermeldung.
Der SQL lautet

PHP-Quellcode

SELECT c.*, p.* FROM r789_blog_cat c LEFT JOIN r789_blog_post p on (c.cat_id = p.cat_id) WHERE p.post_date >= '1417388400' AND p.post_date <= '1420066799' ORDER BY p.post_time DESC

Der Timespamt stimmt auch soweit. Ist beides Dezember.
Die GET Parameter werden nicht direkt übergeben. Dir Funktion wird aufgerufen über

PHP-Quellcode

$Article->archiv($Core->get(GET, 'm'), $Core->get(GET, 'y'));

$Core->get... jagt es durch stripslashes, htmlspecialchars etc.
Also selbst wenn ich wie in diesem Fall den Get Parameter mal nicht PDO Konform übergebe so greift immer noch $Core->get

Active Record · 23. Dezember 2014, 23:51

Was gibt das SQL-Schnipsel im PHPMyAdmin aus?

Grommel · 24. Dezember 2014, 00:48

Leider nix

MySQL lieferte ein leeres Resultat zurück (d.h. null Datensätze). (Die Abfrage dauerte 0.0005 Sekunden)

Active Record · 24. Dezember 2014, 01:31

Hast du 'n Datenbankauszug als SQL/CVS/... zur Hand, dass man das ganze lokal testen kann?

Grommel · 24. Dezember 2014, 01:52

Jep, sql Anhänge mag das Forum nicht. Daher txt

Active Record · 24. Dezember 2014, 02:39

post_date ist NULL, wodurch die Where-Bedinungen nicht greifen.

Grommel · 24. Dezember 2014, 03:23

Ich hasse Flüchtigkeitsfehler :huh:

und dank dir

SQL Suche nach Monat und Jahr

SQL Suche nach Monat und Jahr

PHP-Quellcode

Grommel schrieb:

freeek schrieb:

Active Record schrieb:

freeek schrieb:

PHP-Quellcode

PHP-Quellcode

Teilen

Benutzer online 1