@Aarclay dat eerste hoef je niet aan te passen hoor.
En wat zijn je argumenten? Ik raad je aan om dit eens goed te lezen. isset() als controle is gewoon fout.
Quote: Dat tweede eigenlijk ook niet aangezien het voor admins is, die je db niet gaan droppen ofzo . Wie vertrouwd zijn admins? Je moet gewoon consequent alles beveiligen, of het een admin-onderdeel is of niet. Als iemand toevallig onrechtmatige admin-toegang heeft, dan is SQL injection al helemaal vrij spel.
Quote: En om even Captain Obvious te spelen, hij heeft geen clue wat hij met die codes moet. Dat.
Dat staat er toch.,dat hij die moet vervangen. Redenen, tja... Dat kan hij zelf wel uitzoeken lijkt me. Een link voor het eerste heb ik al gegeven.
Je hoeft niet zo arrogant te doen hoor. Op die site die jij gaf staat dit Quote: À‰én van de meest voorkomende fouten op PHPFreakz is het werken met if(isset($_POST[submit])), if($_POST[submit]), of een willekeurige variant hierop (bijv. $_POST[ok] of enkel ($_SERVER[REQUEST_METHOD] == POST) zonder verdere controle). Dit is meestal de enige validatie die men kent om te kijken of een formulier al dan niet verstuurd is.
Ik heb het niet beveiligd omdat het als het goed is in een omgeving is alleen voor admins. Btw is het ook niet erg als er een leeg veld in de database komt.
In het geval dat je met een button naar de pagina gaat is het zelfs beter als je de naam van de submit-knop opvraagt.
Je zegt het zelf, of enkel ($_SERVER[REQUEST_METHOD] == POST) zonder verdere controle)... Dus zonder enige validatie controle. het staat een beetje vaag omschreven, maar dat wordt er wel mee bedoeld.
Dus het blijft correct om $_SERVER[REQUEST_METHOD] == POST te gebruiken, als je maar kijkt of de $_POST-velden maar bestaan, maar ga niet alleen kijken of er op een knop is geklikt. Dat is zo fout als een.... weet ik veel wat....
En waarom beveilig je het niet? Kleine moeite lijkt me, en het voorkomt dat je ook zelf per ongeluk je database zou kunnen verneuken.....
@Aarclay Ik ben niet dom ofzo hoor. Als jij dit ook niet bent en je snapt wat $_SERVER[REQUEST_METHOD] returnt geef je toe dat je wijziging niets verandert.
// Kijken of je request method wel post is, garrandeert niet of je andere velden zijn ingevult. Het doet dus praktisch hetzelfde als kijken of er op de knop wordt gedrukt, want pas als er op een knop wordt gedrukt gaat hij posten en wordt dat dus de request method.
@Aarclay Ik ben niet dom ofzo hoor. Als jij dit ook niet bent en je snapt wat $_SERVER[REQUEST_METHOD] returnt geef je toe dat je wijziging niets verandert.
Het verandert niks aan de situatie, maar het hoort wel. Gelukkig geef ik het goede voorbeeld Eerst kijken of je formulier verstuurd is via POST, en dan de validatie-chekjes of de $_POST velden bestaan, anders kan je ook nog eens leuke notices krijgen.
Ja, zou mooi zijn om alles te checken, maar jouw allereerste verandering was geen toevoeging.
Trouwens, als je alle velden goed afwerkt kun je ook gewoon de submitknop opvragen (of zelfs het veld). Als er namelijk een $_POST beschikbaar is, dan WEET je al dat de request method post is.
.
Ik geef toe, $_SERVER[REQUEST_METHOD] is de beste manier.
