прототип AJAX не выполняет правильно запрос

Question

Итак, я решил начать использовать прототип, и вот мой первый вопрос. Я пытаюсь отправить запрос ajax на страницу php, которая обновляет отдельную запись. Когда я делаю это вручную (то есть: набираю адрес + параметры, это работает нормально, но когда я использую этот код из JavaScript:

var pars = 'trackname=' + track + '&tracktime=' + time;

new Ajax.Request('php/setSongTime.php', {
method: 'get',
parameters: pars,
onSuccess: function(transport){
  var response = transport.responseText || "no response text";
  alert("Success! \n\n" + response);
  },
onFailure: function(){ alert('Something went wrong...') }

OnSuccess срабатывает и отображает правильную информацию из php, но обновление не производится. Php возвращает строку UPDATE, поэтому я проверяю параметры, и они выглядят нормально. Кто-нибудь видит проблему? Спасибо ...

Всего JavaScript:

/*This file handles all the user-based computations*/

//variable declarations to be used throughout the session
var untimedSongArray = [];

function beginProcess(){

new Ajax.Request('php/getUntimed.php', {
method: 'get',
onSuccess: function(transport){
  var response = transport.responseText || "no response text";
  untimedSongArray = response.split("+");  
  alert(response);
  getFlashMovie("trackTimer").timeThisTrack(untimedSongArray[0]); 
  //alert("Success! \n\n" + response);
  //var html = response;
  },
onFailure: function(){ alert('Something went wrong...') }

});
}

function getFlashMovie(movieName) {
  var isIE = navigator.appName.indexOf("Microsoft") != -1;
  return (isIE) ? window[movieName] : document[movieName];  }

function setSongTime(track, time){
  alert("track " + track + " has a time of " + time);
  //$.get("php/setSongTime.php", { trackname: track, tracktime: time } );
  var pars = 'trackname=' + track + '&tracktime=' + time;

  new Ajax.Request('php/setSongTime.php', {
  method: 'get',
  parameters: pars,
  onSuccess: function(transport){
    var response = transport.responseText || "no response text";
    alert("Success! \n\n" + response);
    },
  onFailure: function(){ alert('Something went wrong...') }
  });
}

Всего php код:

<?php

//turn on error reporting
ini_set('display_errors', 'On');
error_reporting(E_ALL | E_STRICT);
//header('Content-Type: text/xml');

/////////////Main script
//pull variables
//need to do some error checking here
$trackname = ($_GET['trackname']);
$tracktime = ($_GET['tracktime']);

//remove leading track information
$trackname = str_replace('../music_directory/moe/moe2009-07-18/', '', $trackname);
$trackname = str_replace('.mp3', '', $trackname);
//echo $trackname;

//connect with database
$con = mysql_connect("localhost","root","");
if(!$con){
  die('Could not connect: ' . mysql_error());
}

mysql_select_db("musicneverstopped", $con);
//end connecting to database

//////////////////////////////////////////

//update given song time
$sql = "UPDATE songs SET length = ".$tracktime." WHERE unique_song_id = ".$trackname;
echo $sql;
mysql_query("UPDATE songs SET length = '$tracktime' WHERE unique_song_id = '$trackname'");

//error check
//if(!$attempt){
//die(mysql_error());
//}

//////////////////////////////////////////

//close database connection
mysql_close($con);//close mysql connection


?>

Кто-нибудь видит какие-либо ошибки?

Answer 1

Нашли это! Каким-то образом я получил дополнительный пробел перед окончательным $ trackname. Итрим исправил это прямо. Спасибо всем и спасибо тем, кто упомянул функции безопасности. Я определенно осуществлю это. Dan

Answer 2

Попробуйте повторить тот же SQL, который вы фактически используете в mysql_query (сохраните его в $sql, затем передайте его в запрос, вместо того, чтобы выписывать запрос дважды).

Затем попробуйте выполнить запрос, который отображается в ответе напрямую в командной строке mysql на вашем сервере, и посмотрите, что произойдет.

---

Кроме того, просто чтобы повторить Максу о важности экранирования ваших SQL-запросов, я бы добавил к дезинфекции ввода то, что вы должны использовать переменные связывания в своем запросе, а не просто объединять ваш пользовательский ввод с остальной частью SQL.

Примерно так можно было бы убедиться, что ваши переменные надлежащим образом экранированы, чтобы избежать атаки SQL-инъекцией.

$sql = "UPDATE songs SET length = '%s' WHERE unique_song_id = '%s'";
$query = sprintf(
    $sql,
    mysql_real_escape_string($tracktime),
    mysql_real_escape_string($trackname)
);
mysql_query($query);