problema con una JOIN

[lorymacri]

Ciao ragazzi,

ho dei problemi con una JOIN e non so dove sbaglio...

non sono molto brava

TABELLA DATI

CREATE TABLE  `dati` (
  `id` int(11) NOT NULL auto_increment,
  `regione_id` int(11) default NULL,
  `categoria` varchar(45) default NULL,
  `descrizione` text,
  `img_artecultura` varchar(15) default NULL,
  PRIMARY KEY  (`id`),
  KEY `regione_id` (`regione_id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8 AUTO_INCREMENT=2 ;

TABELLA REGIONE

CREATE TABLE  `REGIONE` (
  `id` int(11) NOT NULL auto_increment,
  `nomeregione` varchar(45) default NULL,
  `codreg` varchar(3) default NULL,
  PRIMARY KEY  (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8 AUTO_INCREMENT=4 ;

Devo recuperare dei dati tramite una query usando della variabili che arrivano dall'url:

pagina.php?codreg=cal&categoria=arte 

quindi recuperando le variabili

$codreg = $_GET['codreg'];
$categoria = $_GET['categoria'];

creo la query

$query = "SELECT * 
          FROM dati
          INNER JOIN regione ON dati.id = dati.regione_id
          WHERE REGIONE.codreg = $codreg";
....ecc... 

mi dice: Unknown column 'cal' in 'where clause'

(cal è il valore della variabile $codreg che passo nell'url)

non capisco come deve essere

praticamente io passo queste due variabili (qui ne ho solo usato una)

la variabile $codreg ha dei valori presenti nella tabella REGIONE, tutto questo per recuperare, in questo caso, il nomeregione nella tabella REGIONE e altri dati nella tabella DATI

[piero.mac]

e' una stringa, servono le apici:

WHERE REGIONE.codreg = '$codreg'

[neroux]

$query = "SELECT *
          FROM dati
          INNER JOIN regione ON dati.id = dati.regione_id
          WHERE REGIONE.codreg = '$codreg'"; 

Ma attenzione, così lo script è apertissimo per un SQL injection.

pagina.php?codreg=cal';TRUNCATE%20TABLE%20dati%20--&categoria=arte

[lorymacri]

ciao ragazzi, grazie.

Neroux come lo proteggo in maniera semplice?

[neroux]

Originariamente inviato da lorymacri
ciao ragazzi, grazie.

Neroux come lo proteggo in maniera semplice?

Quella più semplice sarebbe

$codreg = mysql_real_escape_string($_GET['codreg']); 

[lorymacri]

ok grazie
lory