Off-topic, men du putter POST-data direkte i et SQL-kald uden rensning. Hvis du har tænkt dig at lægge det på nettet, så læs op på SQL injections først. Det er ekstremt usikkert.
hvad mener du med at jeg putter det direkte ind i mit sql kald uden RENSNING? kan du komme med nogle eksempler med og uden rensning så jeg forstår det lidt bedre.
mysqli_query($conn,"UPDATE picupload SET info = '$info' WHERE id = ".$id."");
Dvs. POST dataet 'info' bliver puttet direkte ind i et SQL-kald og udført som SQL, og eftersom alle og enhver kan rette HTTP data, kan de meget nemt hacke siden, ødelægge dine data eller få adgang til eksisterende data. Hvis du vil vide hvordan, så søg på "SQL injections". Der er masser om det, da det er den mest almindelige, men samtidig nok mest alvorlige fejl, mange uøvede kodere laver.
For at rense dataene kan du tage den letteste vej og bruge funktioner som mysql_real_escape_string() - den skal bare køres på alle data, du ikke stoler på, dvs. alt fra $_POST, $_GET, $_COOKIE, osv. Det største problem med det er, at du med garanti kommer til at glemme det engang. Det gør alle. Og så er helvede løs.
Men bedre vil være, som repox siger, at bruge parametized statements, som er en helt anden måde at skrive kaldene på, og derfor fylder lidt mere end giver mening at forklare her.
Allerbedst er at gå helt væk fra at skrive SQL direkte, og i stedet bruge en DBAL eller ORM, f.eks. Doctrine. Det er lettere at arbejde i, og så skal du slet ikke tænke på rensning af data.
Alle disse ting kan søges på, hvis du vil vide mere - eller spørg.
Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.