Inserire variabile URL in una select

[luca_ermejo]

Ciao a tutti,

ho un piccolo problema, praticamente ho una pagina php da cui passo una variabile URL a seconda del link che viene cliccato dall'utente... fin qui nessun problema visto che se stampo la variabile nella pagina "ricevente" con l'istruzione

echo $_REQUEST['festa_scelta'] 

tutto và alla perfezione...

Se voglio far stampare la stessa variabile all'interno di una select in modo da selezionare solo determinati campi, mi restituisce sempre questo errore di database

Parse error: syntax error, unexpected T_VARIABLE in /home/pesaadf8/public_html/pesaresi_selected.php on line 42

.

Ecco la mia query tanto per essere più precisi:

"SELECT * FROM foto_utenti WHERE festa = '"echo $_REQUEST['festa_scelta']"' ORDER BY `data` DESC"; 

Dove sbaglio? Come posso risolvere?

Grazie mille,
Luca

[gianiaz]

cosi la sintassi è corretta

"SELECT * FROM foto_utenti WHERE festa = '$_REQUEST['festa_scelta']' ORDER BY `data` DESC";

comunque farei un controllo dei dati, è sempre pericoloso infilare in una query il dato inserito dall'utente.

ciao

[luca_ermejo]

Ho risolto mettendo il request della variabile in precedenza e poi richiamando semplicemente la variabile stessa.

Per quale motivo potebbe essere pericoloso? Anche manipolandola cosa possono fare tramite qualla variabile, crearmi dei problemi? Come posso eventualmente controllare i dati?

Ora il mio problema è un'altro, vorrei mettere un IF in modo tale che se la variabile passata sia nulla, mi deve mostrare tutti i record della tabella (e quindi annullare la condizione WHERE), come posso fare?

Grazie mille per l'aiuto,
Luca

[fre2004]

è pericolosa perche possono verificarsi dei fenomeni di Injection.

in pratica estranei possono venire a conoscenza dei dati sensibili.

prima di infilare il dato nella query, deve mettre apunto uno script che controlla se ci sono dei caratteri speciali come ad esemio i '

[gianiaz]

a parte il discorso del controllo di ciò che arriva dalla request che lascio a te da approfondire, quello che chiedi per la query potrebbe essere qualcosa del genere:

$query = "SELECT * FROM foto_utenti";

$where = "";

if($_REQUEST['festa_scelta']) {
  $where = "WHERE festa = '$_REQUEST['festa_scelta']'";
}

$orderby = "ORDER BY `data` DESC"

$query_finale = $query.$where.$orderby;

mysql_query($query_finale);

ciao