Beiträge von cottton

Cannot redeclare max() -- Funktion max() ist schon deklariert.
PHP bring von Haus aus die Funktion max mit. (die auch noch das macht, was Du brauchst :D)

EDIT: hier mal auf php.net die Beschreibung: http://php.net/manual/de/function.max.php

Das hier:

$_POST['pos[pos]']

sollte so aussehen:

$_POST['pos']['pos']

Tipp: bei den vielen echos sieht man nicht durch.
Würde empfehlen:

// verketten
echo '
<tr>
	<td>
		Name
	</td>
	<td>
		' . htmlspecialchars($value) . '
	</td>
</tr>
';

oder:

// my code ...
?>
<tr>
	<td>
		Name
	</td>
	<td>
		<?php echo htmlspecialchars($value) ?>
	</td>
</tr>
<?php
// my code ...

Du verwendest (was ich Deinem Code entnehme) bei der Aktivierung sicherlich eine Query wie

select * from users where aktivierungscode = :aktivierungscode

denn du nutzt keine userid im Link - was nicht schlimm ist.
Es könnte mit rand() aber vorkommen, dass 2 order mehr User den gleichen Aktivierungscode besitzen/bekommen.
Dadurch kann User A evtl User X aktivieren.
Vorschlag: siehe code

Evtl auch die Fehler beim prepare und execute abfangen, damit Du weißt, was nicht geht, wenn was nicht geht.
+ htmlspecialchars im Emailtext und den Link als Link (a tag) einbauen.

//$rand = rand();
$aktivierungscode = md5('MyTotalySecretPrefix_Salt_or_what_ever' . (string)$username . microtime(true)); // kombi aus (salt)prefix, username und microtime sollte unqiue und nicht so leicht zu "erraten" sein
$statement = $pdo->prepare("INSERT INTO users (username, email, passwort, aktivierungscode) VALUES (:username, :email, :passwort, :aktivierungscode);"); // semikolon am ende
// error abfangen -- siehe http://php.net/manual/de/pdo.errorinfo.php
if (!$statement) {
    echo "\nPDO::errorInfo():\n";
    print_r($dbh->errorInfo()); // beachte: ::errorInfo von $dbh
}




$result = $statement->execute(array('username' => $username, 'email' => $email, 'passwort' => $passwort_hash, 'aktivierungscode' => $aktivierungscode));
// error abfangen -- siehe http://php.net/manual/de/pdostatement.errorinfo.php
if (!$result) {
	echo "\nPDOStatement::errorInfo():\n";
    print_r($statement->errorInfo());  // beachte: ::errorInfo von $statement
}




if($result) {                    
    $showFormular = false;
    $jumpurl = "willkommen.php";
    $link = "http://194.95.47.100/toro4621/activate_user.php?id=$aktivierungscode";
    $betreff    = "Accountaktivierung: eSmurf Fotocommunity";
    $mailtext   = "Hallo " . htmlspecialchars($username) . ", \n\n
    Herzlich Willkommen in der eSmurf-Fotocommunity. 
    \nNoch ein Schritt, dann kann es los gehen.
    \nBitte klicke auf den unten stehenden Link um deinen Account zu aktivieren: \n\n" .
    "<a href="$link">$link</a>";
    $absender   = "bittenichtantworten@esmurf.de";
    $headers   = array();
    $headers[] = "MIME-Version: 1.0";
    $headers[] = "Content-type: text/plain; charset=iso-8859-1";
    $headers[] = "From: {$absender}";
    $headers[] = "Reply-To: {$absender}";
    $headers[] = "Subject: {$betreff}";
    $headers[] = "X-Mailer: PHP/".phpversion();
    mail($email, $betreff, $mailtext,implode("\r\n",$headers));
    echo "E-Mail wurde gesendet!";
    echo "<meta http-equiv="refresh" content="0;url=$jumpurl" />";
}

Ansonsten wäre es interessant, was (wie Basi schon sagte) das Feld aktivierungscode für ein Type ist.

Die Typen kann man Fälschen.
Eine Datei my.png kann auch ein Javascript sein, das einfach nur mit einer andere Endung versehen wurde.

Die Funktion imagecreatefromstring nutzt die Rohdaten (deswegen file get contents) um ein neues Image zu erstellen.
Sollten die Rohdaten nicht ~"von einem Bild" stammen, kann diese Funktion kein Bild erstellen.
Und genau dann wei0t Du , dass jemand versucht hat etwas anderes hochzuladen.

Es gibt sicherlich noch andere Wege. Ich fand diesen Weg einfach recht simpel und sicher.

Bsp:

$file = '...'; // ... die datei die hochgeladen wurde ($_FILES... tmp ...)




// die rohdaten laden
$data = file_get_contents($file); 




// check
$img = imagecreatefromstring($data);
$isValidImage = ($img !== false);
imagedestroy($img); // ImageDestroy() gibt den durch das Bild im belegten Speicher wieder frei




if($isValidImage){
    // ist ein bild, also kann ins zielverzeichnis geschoben werden
    $result = move_uploaded_file(..., ...);
}













imagedestroy($im);

Siehe auch comment => http://php.net/manual/de/func…tring.php#94254

Prüfe beim Upload, ob es ein Bild ist. Wenn nicht, dann Fehler und verwerfen.
Guck mal in Google nach "php check if uploaded file is image".
(Ich empfehle da imagecreatefromstring( file_get_contents($source) ); -- wenn es kein Bild ist, gibt es einen Fehler)

Nutze beim Speichern der Bilder und Namen der Dateien in SQL eigene Namen (zb md5(filename)).

Stimm, das geht net.
Manche Fehler findet man alleine nicht am gleichen Tag. Ist öfter so. Am nächsten Tag guckt man sich das an und denk "oh man, ist doch klar ... "
Schön, dass es funktioniert =)

Das sollte aber so funktionieren.
http://php.net/manual/de/function.move-uploaded-file.php
bool move_uploaded_file ( string $filename , string $destination )
Du kannst ja mal testen, was die Funktion zurück gibt. Evtl guckst Du auf "alte Files" und die eigentlichen wurden nicht verschoben.

Teste mal:

$path = 'images/vorstand/';
$destination = $path . $_FILES['uploaddatei']['name'];
var_dump(is_writable($path));  
$result = move_uploaded_file($_FILES['uploaddatei']['tmp_name'], $file);

Info am Rande: beim Fileupload werden die Dateien in das tmp Verzeichnis gelegt.
Dateien, die dort drin verbleiben, werden nach Ablauf des PHP Scripts automatisch gelöscht (wenn nicht um-/abgestellt).

Zitat von eSmurf

Ja ich weiß aus dem anderen Topic, dass man Variablen nicht direkt in die SQL-Befehle schreiben soll.

Ich wollt schon los meckern

Das könnte sein, da Du WHERE ip_adresse = '$ip'" abfragst.
Wenn nun zB das Feld `ip` in der DB ein (nur Bsp) VARCHAR(10) ist, aber eine ipv6 reinkommt,
und kein sql_mode = STRICT_ALL_TABLES aktiviert ist,
dann werden nur die ersten 10 Zeichen in das Feld geschrieben.
(wenn STRICT_ALL_TABLES on/an ist, dann gibts Fehler geschmissen - was richtig und gut ist/wäre)

kurz: es kann sein, dass Du nach 12345 suchst, aber nur 1234 im Feld steht, da nicht mehr Platz reserviert wurde.

Tipp: ips speichern (v4 und v6)
NTOA und ATON

-- INET6_ATON / INET6_NTOA is for both -- v4 and v6
-- set db.ip field to VARBINARY(16) to fit with ip v4 and v6 length




-- insert an ip
INSERT INTO `tblname` 
SET 
    `ip` = INET6_ATON(:ip) ; -- merke A to N




-- select an ip
SELECT  
    INET6_NTOA(`ip`) AS `ip` -- merke N to A
FROM `tblname` 
WHERE ...




-- search for ips (first right version, then wrong version)
-- right version:
SELECT *
FROM `tblname` 
WHERE 
    `ip` = INET6_ATON(:ip) -- only have to convert the searched ip once 
;




-- WRONG version:
SELECT *
FROM `tblname` 
WHERE 
    INET6_NTOA(`ip`) = :ip -- mysql server obviously have to convert EVERY ip in db for the condition!
;

Wenn Du immer ausgeben möchstest, ob die ip schon vorhanden war, dann musst Du wohl immer eine Abfrage der ip durchführen.
Wenn Du das nicht brauchst, dann empfehle ich ON DUPLICATE KEY UPDATE:

INSERT INTO `tblname` 
SET 
    `ip` = INET6_ATON(:ip)
ON DUPLICATE KEY UPDATE `id` = `id`;

Was passiert hier:
(Ich gehe von fortlaufender id `id` aus)
todo: Setze das Feld `ip` auf UNIQUE ( UNIQUE INDEX `uidx_ip` (`ip` ASC) )
Der mysql Server bekommt die Aufgabe eine Zeile einzufügen mit der ip x.
Sollte die ip nun schon vorkommen, würde der Server einen Fehler schmeissen.
Aber - wir haben ihm gesagt: ON DUPLICATE KEY (wenn key (feld) ein Duplikat verursachen würde) UPDATE `id` = `id`

Note. Es könnte auch heissen: ON DUPLICATE KEY UPDATE `updated_at` = NOW(), `user` = :user, ...
(~ wenn Duplikat dann mach das)

Bei der id = id Variante wird der Server nichts machen (keine unnötige Artbeit). (Warum genau -> google, bekomms grad nicht zusammen)

So, das war wiedermal viel von mir ... sollte aber alle klar sein. =)

guck mal hier:
http://php.net/manual/de/mysqli.quickstart.php
http://php.net/manual/de/pdo.connections.php

Im Forum hatten wir die Themen auch schon öfter.
Egal für welche Version Du Dich entscheidest - wenn was unklar ist, einfach frage (gerade bei Sachen Sicherheit).

Note: wenn Du mit Klassen in PHP noch nichts gemacht hast, dann könnte mysqli_ Deine Wahl sein.
Empfehlen würde ich PDO - musst Du aber entscheiden.

Was Du tun musst, ist die Methoden (zB Verbindung zur DB) auszutauschen. (Fehler abfangen nicht vergessen)

Full agree.
Aber das hier kann man falsch verstehen:

Zitat von Talwin

Wenn du auf pdo umsteigst, dann wird das automatisch für dich gemacht.

Wenn prepared statements (pdo und mysqli_) richtig angewandt werden, dann ist keine sql-injection möglich.

Das könnte sich schwierig gestallten.
Ich verstehe gerade nicht, warum und wie Du die Dateien speicherst.

Am besten Du postest mal nen Screenshot, damit man sich was vorstellen kann (Daten schwärzen).
Und dann in müsste man wissen (in Stichpunkten), wie der momentane Ablauf ist.

Nutzt Du PHP? Javascript?
Im normal Fall würdest Du ein Formular haben, in dem Du Daten anzeigst,
evtl noch ein zweites, um neue Datensätze an zu legen (anzulegen? :D).

Die Daten sollten dann in einer Datenbank gespeichert werden (nicht in Dateien).
(Falls Du PHP noch nicht kennst: http://www.php-kurs.com/erstes-php-programm.htm)

Was?
Von jedem User -1 (was) von Tagen abziehen?
Also bei jedem User einen Tage abziehen?

Kommt auf jeden Fall auf den Feldtyp an (DATE, DATETIME, VARCHAR; INT ?).

Falls es ein INT ist, dann könnte das so aussehen:

UPDATE user_table SET user_days = user_days -1;

Das dann in einer Schleife.
Und hier kommt es auch wieder darauf an: wie viele User sind es?
Bei 100 könnte man das mit einer Schleife in PHP erledigen.
Bei tausenden oder mehr sollte man es sich überlegen, ob es komplett vom SQL Server erledigt werden soll ("Stored Procedures").

Also Du sicherlich hast ein Container:

<video id="vid_frame">
    <source src="video.ogg" type="video/ogg" />
    <source src="video.mp4" type="video/mp4" />
    <!-- ... -->
</video>

In dem video object legst Du erstmal alle formate an, die Du zur Verfügung stellst:

<video id="vid_frame">
    <source src="" type="video/ogg" />
    <source src="" type="video/mp4" />
    <source src="" type="video/webm" /> 
    <!-- m4v kenn ich nicht -->
</video>

Source haben die im Moment keine.
Onclick willst Du ja aber das Video x in dem vid_frame laufen lassen.
Also greifst Du Dir das Video Element und updates alle seine (Childs) src.
Gedankengang:

< ... onclick="updateSrc(1)"

// var movies = {
    1 : { 'video/ogg' : 'my/path/to/movie.ogg' },
    2 : { 'video/mp4' : 'my/path/to/movie.mp4' },
    // ...
};
function updateSrc(movieId){
    var elem = document.getElementById('vid_frame');
    if(elem){
        for(var i in elem){ // weiß grad nicht, ob die schleife auf diesen elementen so funktioniert
            var type = elem.type; // ^= zB video/ogg 
            var srcNew = movies.movieId[type];
            elem[i].src = srcNew;
        }
    }
}

http://php.net/manual/de/ref.pdo-mysql.php

Zitat

PDO::MYSQL_ATTR_READ_DEFAULT_FILE (integer)
Read options from the named option file instead of from my.cnf. This option is not available if mysqlnd is used, because mysqlnd does not read the mysql configuration files.

Naja, Du kannst ja noch paar Sachen einbauen, die keinen großen Aufwand verursachen.
zB eine Tabelle für wrong Logins.
Wenn der Login falsch war, dann speicherst Du das ab like

insert into tbl_wrong_logins set user_id = :userid, user_ip = :userip, date = now(); -- usw

Das wäre schon mal eine Tabelle.
Die könntest du btw auch für die blacklist nutzen. Wenn zuviele Einträge in der wrong_logins in einem bestimmen Zeitraum, dann ab auf die Blacklist.
like:

select user_id from wrong_logins where date between :startDate and now();

<?php
if(count($result) > $maxWrongLogin){ /*hier sql insert into blacklist*/ }

Zur user table:
Thema Sinnvoll (da kannste argumentieren) - es ist sinnvoll, dass man die Telefonnummern in einer extra Tabelle ablegt.
Warum?
1 User kann n Telefonnummern haben.
(Wäre also wieder eine Tabelle)

Und das geht so weiter: 1 User kann n Adressen haben ((Haupt)Wohnsitz, Firma, ...)

Erstmal ist da ein Fehler drin.
Es muss

if(myArray[i]

([i] fehlte) heißen.

Deutung:

// ein array mit zahlen
// dabei werden die schlüssel numerisch generiert:
// myArray(0 => 4, 1 => 5, ...) usw
var myArray= [4, 5, 6, 99, 68, 7, 24];




var Zahlen = 0;




// so lange i kleiner als die menge von myArray ist
for(var i=0; i< myArray.length; i++){




	// wenn myArray offset grösser als die var Zahlen ist
	// (wenn der gefundene wert kleiner ist, als der momentane)
	if(myArray[i] > Zahlen){




		// dann update die var Zahlen mit dem momentanen wert
		Zahlen = myArray[i];
	}
}




// ausgabe in der (browser) console
console.log(Zahlen);

Ausgabe: 99

Sieht mir so aus, als solltest Du die Abteilung wechseln - evtl in die Entwicklung wechseln

Wenn es nicht erlaubt ist, ist es nicht erlaubt.
Man müsste schon jemand drauf ansetzen, um das Tool zu "überwachen".
Wird es abgenommen, dann darf nichts mehr daran geändert werden.
Aber wer überwacht das?

Du kennst doch sicher die Texte auf Seiten "die Links auf dieser Seite ...." in denen man sich absichert, dass man nicht für verlinkte Inhalte verantwortlich ist.
Und so kann es kommen - Du nutzt einen Link (intern wie extern) und das Ziel (die Datei oder was auch immer dort liegt) wird gezogen und richtet Schaden an.
Was dann?

TempFolder wird nach Ende des Scripts automatisch geleert (wenn ich mich nicht irre oder es in der config geändert wurde).

Aber warum soll der User NACH absenden der Form prüfen, ob alles stimmt?
Das soll er doch davor.
Oder per JS evtl (Fragezeichen)

Das hier:

-->
</style>
...Positionierungs- und Beschriftungs-Test <br>
</head>
<body>

gibt Probleme. Du schreibst im <head> ...Positionierungs- und Beschriftungs-Test <br>, was allerdings in den <bod> gehört.

Du hast also Daten, die Du ausgeben lassen willst. Dazu musst Du Dich mit der Datenbank verbinden -- PDO würde ich auf jeden Fall empfehlen.
mysql_ Funktionen sind verhaltet und nicht sicher.
mysqli_ Funktionen(bzw Klassen) wären eine Möglichkeit. Allerdings (meine Meinung) ist myqli einfach nur ein riesen "Kuddelmuddel".

PDO ist zwar Klassenbasiert only, Du musst Dich also mit Klassen in PHP beschäftigen, aber es lohnt sich - es ist sehr gut dokumentiert und mach (wieder meine Meinung) an allen Ecken Sinn.

Doku PDO: http://php.net/manual/de/book.pdo.php
Doku Mysqli: http://php.net/manual/de/book.mysqli.php

Egal wie Du Dich entscheidest - hier im Forum haben wir Beides schon oft behandelt. Wenn trotzdem irgendwas unklar ist - einfach fragen.

Versteh es auch nicht.
stibbi Wäre aber gut, wenn Du Code in bb-tags setzt, damit man es besser lesen kann.
Siehe: Den eigenen Code lesbar im Forum präsentieren