passaggio variabile dopo pulsante "Aggiorna"

[emibio]

Ciao a tutti, ho il seguente codice, dove recupero con successo l'id da una pagina php: in un'altra pagina cerco di fare l'Update in un db recuperando la riga dall'id dello stesso database in questa maniera

<?php
$id = $_GET['id'];
if (isset($_POST["cmdAggiorna"])) {
$cognome = $_POST["txtCognome"];
$sql = "UPDATE alunni SET COGNOME = '".$cognome."' WHERE id_PERSONA = '".$id."'";
$result = $conn->query($sql);
if($result){
header("Location: inserimento-ok.php");
} else {
echo("<br>Inserimento non eseguito");
}
}
?>

il problema è che dopo che clicco su "Aggiorna", la variabile $id non mantiene il suo valore ma "scompare" qualcuno potrebbe gentilmente darmi qualche dritta?

GRAZIE

[filippo.toso]

Il codice mostrato è un rischi di sicurezza a causa di SQL Injection.

Detto ciò, passa la variabile $id come parametro nella querystring alla pagina dove ti serve oppure (meno pulito ma a seconda della struttura del sito, forse unica soluzione praticabile) salvala in sessione e recuperala dalla sessione dove ti serve.

[emibio]

Grazie, ci provo e verifico!

[Marcolino's]

C'è qualcosa di perverso in quello che hai detto.

Aggiorna che vuol dire? Io ho inserito dei dati che sono stati registrati, quindi Aggiorna che vuol dire?

Vuol dire che devo ricominciare da capo ad inserire nuovi dati?

Perché se è così l'ID di cui parli è parte di un login? Cioè è l'identificativo di chi sta inserendo i dati o solo del record da aggiornare?

Se è l'ID di chi ha effettuato il login, non può stare in una GET è folle. Piuttosto mettilo in una sessione, così ad ogni aggiornamento della pagina comunque ti rimane.

Inoltre così non sei costretto ad usare nella stessa pagina sia GET che POST.

Poi mi pare di capire che usi PDO, è stato creato per impedire di inserire nelle query dati direttamente provenienti dai campi di un form, non prima di un controllo.

Questa roba è folle:

$sql = "UPDATE alunni SET COGNOME = '".$cognome."' WHERE id_PERSONA = '".$id."'";
$result = $conn->query($sql); 

molto meglio:

$sql = 'UPDATE alunni SET COGNOME = :cognome WHERE id_PERSONA = :id';
$statement = $conn->prepare($sql);
$statement->bindValue(':cognome', $cognome, PDO::PARAM_STR);
$statement->bindValue(':id', (int)$id, PDO::PARAM_INT);
if ($statement->execute))
  echo 'Perfetto, il record è stato aggiornato';
else
  echo 'Qualcosa è andato storto e il record non è stato aggiornato.'; 

Più lungo ma immensamente più sicuro, programmare in PHP a volte può essere più lungo che scrivere un romanzo, ma non dobbiamo farci prendere dalla fretta.

E scusami se sembro cattivo, ma come dice Filippo Toso, quel codice è un rischio.

[emibio]

grazie Marcolino,s in effetti era un po' contorto, oltre che rischioso....comunque ho fatto come mi hai consigliato ed ho risolto...non senza fatica!
Grazie a tutti!!