Problem bei Ausgabe mit echo

andre-ne · #1 (**permalink**) 28.06.2011, 23:51

Hallo!

In meiner Datenbank habe ich den Content meiner Internetseite gespeichert. Der Content enthält unter anderem auch PHP Script.

Um die Datenbank zu öffnen und die Inhalte zu lesen und wieder zu geben habe ich folgendes Script geschrieben

PHP-Code:


			
<?php

include ("db.inc.php");



$open = $_GET["page"];



if($open == "")

    {

        $open = "start";

    }



$sql="SELECT * FROM page WHERE page='$open'";

$result = mysql_query($sql);

$res = mysql_fetch_assoc($result);

$page = $res['content'];



?>



<html>

<head>Hier stehen die üblichen Header Parameter</head>

<body>



<?php

echo "$page";

?>



</body>

</html>

Über $_GET["page"] soll ausgelesen werden welche Seite geöffnet werden soll.

Anschließend soll mit dem echo "$page" im Bereich des Bodys dann der Content der aus der Datenbank (aus der Spalte page) gelesen wurde wieder gegeben werden.

Im Bereich des Bodys habe ich nun mein Problem mit dem echo-Befehl wenn in dem Content PHP vorhanden ist. Dann wird das PHP Script "ignoriert" bzw. einfach mit angezeigt.

Wie kann ich dies Problem lösen damit auch mein PHP-Script ausgeführt wird?

Gruß
André

jnv · #2 (**permalink**) 29.06.2011, 08:19

Lass die Anführungszeichen weg.

echo $variable;

andre-ne · #3 (**permalink**) 29.06.2011, 08:23

Das hatte ich auch schon probiert.
Das PHP Script wird dann trotzdem nicht ausgeführt :/

mantiz · #4 (**permalink**) 29.06.2011, 09:33

Erstens würde ich auch die Anführungszeichen weglassen.

Zweitens gibt "echo" nur etwas aus, es führt aber nichts aus. Wenn Du PHP-Code in der Datenbank hast, der ausgeführt werden soll, dann ist das zunächst (fast ausschließlich) ein konzeptioneller Fehler.

Nichtsdesto trotz könntest Du diesen mit "eval" ausführen.

Aber vorsicht, das Wort "eval" hat Ähnlichkeit mit "evil", man sollte schon genau wissen was man dort tut, sonst könnte es ganz, ganz böse werden.

Maxefix · #5 (**permalink**) 29.06.2011, 09:35

Du hast PHP-Code in deiner Datenbank stehen?

Warum? Brauchst du überhaupt eine Datenbank, oder wären normale PHP-Dateien nicht einfacher für dich?

Aber zu deiner Frage, PHP-Code der in einem String steht kannst du mit eval() ausführen. Ist aber sehr riskant, weil du nie genau weißt was er da jetzt ausführt. Es braucht nur jemand den Inhalt der Variable "$page" manipulieren und schon führst du Schadcode aus.

Und mach dich umbedingt mal mit SQL-Injections vertraut. Die Variable $open solltest du umbedingt mit mysql_real_escape_string() behandeln.

Gruß,
Max

EDIT: Mal wieder zu langsam.

andre-ne · #6 (**permalink**) 29.06.2011, 09:48

Okay danke, werd mir das ganze noch einmal genau anschauen, dann finde ich schon eine bessere Lösung

mermshaus · #7 (**permalink**) 30.06.2011, 00:12

Stichwort: Template Engine.

- Template Engine

In PHP etwa:

- Smarty
- Twig
- PHPTAL
- XML/XSL

- …

Praktikant · #8 (**permalink**) 30.06.2011, 00:24

So etwas geht auch ohne Template Engine ohne Code in der Datenbank. Am Anfang ist es meiner Meinung nach auch ganz gut nicht direkt auf eine Template Engine zurück zu greifen und gegen SQL-Injection hilft eine Template Engine auch nicht...

mermshaus · #9 (**permalink**) 30.06.2011, 01:09

Ja, es hängt von der Intention ab. Wenn das Ziel ist, in Einträgen „erweiterte Funktionalität“ (Schleifen, bedingte Ausgabe, Einbindung vorgefertigter Bausteine, … – kurz: alles, was normales HTML übersteigt) zur Verfügung zu stellen, ist eine „Template Engine“ (BBCode ist irgendwie auch bereits eine) keine schlechte Wahl.

Zitat:

und gegen SQL-Injection hilft eine Template Engine auch nicht...

Das ist auch nicht ihre Aufgabe.

inta · #10 (**permalink**) 30.06.2011, 07:34

Zitat:

Zitat von mermshaus

Wenn das Ziel ist, in Einträgen „erweiterte Funktionalität“ (Schleifen, bedingte Ausgabe, Einbindung vorgefertigter Bausteine, … – kurz: alles, was normales HTML übersteigt) zur Verfügung zu stellen, ist eine „Template Engine“ (BBCode ist irgendwie auch bereits eine) keine schlechte Wahl.

Doch, eigentlich ist sie genau das: eine schlechte Wahl.

Der Autor hat hier zwar etwas übertrieben, aber mit seiner Kernaussage hat er absolut recht: Blogger: PHP ist eine Template Engine! - Ein PHP Blog auf deutsch

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Ansicht
Linear-Darstellung Zur Hybrid-Darstellung wechseln Zur Baum-Darstellung wechseln

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
IE 7: Zoom Problem, Höhen Problem, Text problem	Cu Chullain	CSS	4	02.09.2010 13:56
Div mit fixem Abstand und variabler Breite	tc-burgi	CSS	0	28.08.2010 16:33
PNG in IE Problem mit der Mauserkennung (klickbar oder nicht)	Angélique	CSS	13	16.03.2010 18:20
Problem mit Background-Color im FireFox	to.ni	CSS	2	31.08.2004 11:13
<div> container verschwindet?!	Gilbert	CSS	3	30.09.2003 13:55