ID meegeven via URL

Hoi allemaal,
Ik ben bezig met een systeem (zoals je uit de vorige topics wel kon merken), alleen nu wil ik in een privéberichten systeem het id van het bericht meegeven.

Onderstaande de code van het overzicht pbs, en het is de bedoeling dat als ze op het onderwerp klikken ze naar de pagina gaan om het te lezen, alleen daar wil ik dus alleen maar het bericht zien wat ze hebben aangeklikt, maar zover ben ik dus nog niet. Het lukt me namelijk niet om de id mee te geven.

<html>
    [COLOR= #0000BB]<?php[/COLOR] [URL="http://www.php.net/include"]include[/URL][COLOR= #007700]([/COLOR][COLOR= #DD0000]header.php[/COLOR][COLOR= #007700]);[/COLOR] ?>
    <head>
    </head>
        <div id="page">            
            [COLOR= #0000BB]<?php[/COLOR] [URL="http://www.php.net/if"]if[/URL][COLOR= #007700](![/COLOR][URL="http://www.php.net/isset"]isset[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_SESSION[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]user[/COLOR][COLOR= #007700]])) {[/COLOR]
                [URL="http://www.php.net/header"]header[/URL][COLOR= #007700]([/COLOR][COLOR= #DD0000]Refresh: 1; url=inloggen.php[/COLOR][COLOR= #007700]);[/COLOR]
                [URL="http://www.php.net/exit"]exit[/URL][COLOR= #007700]([/COLOR][COLOR= #DD0000]Log eerst in![/COLOR][COLOR= #007700]);
                
            }[/COLOR]
            ?>
            
    
            <div id="updates">
            <h1>Privberichten</h1><p>
            [COLOR= #0000BB]<?php $result[/COLOR] [COLOR= #007700]=[/COLOR] [URL="http://www.php.net/mysql_query"]mysql_query[/URL][COLOR= #007700]([/COLOR][COLOR= #DD0000]"SELECT * FROM priveberichten WHERE ontvanger = "[/COLOR] [COLOR= #007700].[/COLOR] [COLOR= #0000BB]$_SESSION[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]user[/COLOR][COLOR= #007700]] .[/COLOR] [COLOR= #DD0000]" ORDER BY date DESC  "[/COLOR][COLOR= #007700])[/COLOR] 
or [URL="http://www.php.net/die"]die[/URL][COLOR= #007700]([/COLOR][URL="http://www.php.net/mysql_error"]mysql_error[/URL][COLOR= #007700]());[/COLOR] 
[URL="http://www.php.net/while"]while[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$row[/COLOR] [COLOR= #007700]=[/COLOR] [URL="http://www.php.net/mysql_fetch_array"]mysql_fetch_array[/URL][COLOR= #007700]([/COLOR] [COLOR= #0000BB]$result[/COLOR] [COLOR= #007700])) {[/COLOR] ?>
[COLOR= #0000BB]<?php $id[/COLOR][COLOR= #007700]=[/COLOR]    [COLOR= #0000BB]$row[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]id[/COLOR][COLOR= #007700]];[/COLOR] ?>
<table width="100%">
<tr><td><b>Onderwerp</b></td><td><b> Afzender</b></td><td><b> Datum</b></td></tr>
<tr><td> <a href="pblees.php?id= [COLOR= #0000BB]<?php $id[/COLOR][COLOR= #007700];[/COLOR] ?>"> [COLOR= #0000BB]<?php[/COLOR]  [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #0000BB]$row[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]onderwerp[/COLOR][COLOR= #007700]];[/COLOR] ?></a></td><td>[COLOR= #0000BB]<?php[/COLOR] [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #0000BB]$row[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]afzender[/COLOR][COLOR= #007700]];[/COLOR] ?></td><td>[COLOR= #0000BB]<?php[/COLOR] [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #0000BB]$row[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]date[/COLOR][COLOR= #007700]];[/COLOR] ?></td></tr>
</table>
[COLOR= #0000BB]<?php[/COLOR] [COLOR= #007700]}[/COLOR] ?>
            </div>
            
        
            
        </div>
    [COLOR= #0000BB]<?php[/COLOR] [URL="http://www.php.net/include"]include[/URL][COLOR= #007700]([/COLOR][COLOR= #DD0000]footer.php[/COLOR][COLOR= #007700]);[/COLOR] ?>
</html>

Is dit een veilige manier, en waar gaat het fout? Ik hoor het graag van jullie!

zet echo voor $id

Thom schreef:

zet echo voor $id

Yep, zo simpel kon het dus zijn. Nog een vraagje, is dit een veilige oplossing voor een privéberichtensysteem?

XSS injectie mogelijk

toevoeging op 13 december 2015, 13:02:52:
en die or die is niet echt netjes

Ik raad aan om af te stappen van de oude mysql-functies, en over te stappen op MySQLi.
Zie ook http://php.net/mysqli

Ikzelf raad de OO-versie (Object-Oriented) aan, waarbij je eenvoudig zelf foutafhandeling in en query kan inbakken.

Aarclay schreef:

Ik raad aan om af te stappen van de oude mysql-functies, en over te stappen op MySQLi.
Zie ook http://php.net/mysqli

Ikzelf raad de OO-versie (Object-Oriented) aan, waarbij je eenvoudig zelf foutafhandeling in en query kan inbakken.

Bedankt voor de tip, ga er mee bezig!

Nog een vraagje: Nu wil ik checken of een gebruiker een bericht heeft gelezen, door middel van de tijd van het bericht (wanneer het verzonden is, verz_date) en de tijd dat de user op de pagina van het bericht heeft gekeken te vergelijken. Heeft iemand suggesties hoe ik in PHP/MySQL erachter kan komen wanneer iemand op een link of op een pagina heeft gekeken?

Je kan gewoon een UPDATE query doen, en read_pm op 1 zetten.