Как объединить SQL, HTML и PHP с этим кодом

Question

Как объединить SQL, HTML и PHP с этим кодом

0

В основном это элемент, который показывает изображение из пути в базе данных. Но я просто не могу заставить его работать.

<img class="img-circle profile_img" id="blah" src=" <?php $query2=mysqli_query($conexao,"select * FROM esc_usuarios_fotos WHERE img_usu_codigo = '" . $_SESSION['codigo'] . "'");
    while($row2=mysqli_fetch_array($query2)){
        if ((!empty($row2['img_local'])) && (file_exists($row2['img_local']))) {
            echo '<img class="image--cover" id="blah" src="'.$row2['img_local'].'" alt="Avatar" title="DEFINIDA" onerror="this.onerror=null;this.src=1.png;">';
        } else {
            echo 'Show a default image.'; // <img src="path_to_default_image" alt="Default_image"/>
        }
    } ?>" alt="Avatar" title="DEFINIDA" >

18 сен. 2018, в 21:33

Источник

2

Вы выводите весь тег img. Отобразите только источник (src / url) изображения. И замените «Показать изображение по умолчанию» на местоположение файла-заполнителя по умолчанию.
Marvin WordWeaver Parsons 18 сен. 2018, в 19:29
2

Есть две вещи, которые вы должны изучить, прежде чем что-то поставить в строку: 1 подготовленные операторы, 2 экранирование HTML для переменных, которые будут использоваться в коде HTML.
Juan 18 сен. 2018, в 19:32
1

ВНИМАНИЕ : При использовании mysqli вы должны использовать параметризованные запросы и bind_param для добавления пользовательских данных в ваш запрос. НЕ используйте интерполяцию или конкатенацию строк для достижения этой цели, поскольку вы создали серьезную ошибку внедрения SQL . НИКОГДА не помещайте $_POST , $_GET или любые пользовательские данные непосредственно в запрос, это может быть очень вредно, если кто-то попытается использовать вашу ошибку.
tadman 18 сен. 2018, в 19:38
1

Примечание. Объектно-ориентированный интерфейс к mysqli значительно менее многословен, что облегчает чтение и аудит кода, и его нелегко спутать с устаревшим интерфейсом mysql_query . Прежде, чем вы слишком инвестируете в процедурный стиль, стоит переключиться. Пример: $db = new mysqli(…) и $db->prepare("…") Процедурный интерфейс является артефактом эпохи PHP 4, когда был представлен mysqli API, и его не следует использовать в новом коде.
tadman 18 сен. 2018, в 19:38
0

@Juan Подготовленные заявления, я все еще изучаю это, но как насчет экранирования переменных? Извините, вроде как новый на английском
user8190735 18 сен. 2018, в 19:40
0

Экранирование переменных перед их включением в html предотвращает интерпретацию определенных символов как кода, что делает возможным внедрение javascript. Посмотрите на эту функцию php.net/manual/en/function.htmlspecialchars.php
Juan 18 сен. 2018, в 19:59

Показать ещё 4 комментария

Теги:

php

mysql

html

concatenation

1 ответ

Ещё вопросы

Вы выводите весь тег img. Отобразите только источник (src / url) изображения. И замените «Показать изображение по умолчанию» на местоположение файла-заполнителя по умолчанию.
Есть две вещи, которые вы должны изучить, прежде чем что-то поставить в строку: 1 подготовленные операторы, 2 экранирование HTML для переменных, которые будут использоваться в коде HTML.
ВНИМАНИЕ : При использовании mysqli вы должны использовать параметризованные запросы и bind_param для добавления пользовательских данных в ваш запрос. НЕ используйте интерполяцию или конкатенацию строк для достижения этой цели, поскольку вы создали серьезную ошибку внедрения SQL . НИКОГДА не помещайте $_POST , $_GET или любые пользовательские данные непосредственно в запрос, это может быть очень вредно, если кто-то попытается использовать вашу ошибку.
Примечание. Объектно-ориентированный интерфейс к mysqli значительно менее многословен, что облегчает чтение и аудит кода, и его нелегко спутать с устаревшим интерфейсом mysql_query . Прежде, чем вы слишком инвестируете в процедурный стиль, стоит переключиться. Пример: $db = new mysqli(…) и $db->prepare("…") Процедурный интерфейс является артефактом эпохи PHP 4, когда был представлен mysqli API, и его не следует использовать в новом коде.
@Juan Подготовленные заявления, я все еще изучаю это, но как насчет экранирования переменных? Извините, вроде как новый на английском
Экранирование переменных перед их включением в html предотвращает интерпретацию определенных символов как кода, что делает возможным внедрение javascript. Посмотрите на эту функцию php.net/manual/en/function.htmlspecialchars.php

user8190735 · Answer 1 · 2018-09-19T11-50-00.000Z

Мне удалось работать, окончательный код:

<?php
            $query2=mysqli_query($conexao,"select * FROM esc_usuarios_fotos WHERE img_usu_codigo = '" . $_SESSION['codigo'] . "'");
            while($row2=mysqli_fetch_array($query2)){
                if ((!empty($row2['img_local'])) && (file_exists($row2['img_local']))) {
                    echo '<img class="image--profile" src="'.$row2['img_local'].'" title="Clique para abrir seu perfil">';
                } else {
                    echo '<img class="image--profile" src="images/user.png">';
                }
              }
            ?>