Problem mit Schleife (Perl/CGI)

[thread]18213[/thread]

Problem mit Schleife

Tags: perl5 CGI Ähnliche Threads

Leser: 17

Articles: hide open all | hide show old branches

Teilbaum:
Werte immer escapen/filtern (11 Artikel) 2013-03-20 11:25

+20 replies
anamollo4music

2013-03-19 20:06
User since
2013-03-19
42 Artikel
BenutzerIn
Hallo zusammen,

erstmal echt toll, dass es so ein gutes Forum für Perl/um Perl gibt.

Nun zu meinem eigentlichen Problem.
Ich möchte mittels eines CGI-Skripts Werte von Textboxen eines HTML-Formulars, deren Anzahl ungewiss ist, mit einem Submit-Button in eine SQL-Datenbank schreiben.

Die Anzahl der jeweiligen Textboxen hängt von der Anzahl der Tupel ab, die ich einlese.

Mit folgendem Code lese ich von der mySQL-DB meine Werte ein:
Code: (dl )

1 2 3 4 5 6 7 8 9

my $i=0; while ((my $idSensoren, my $Beschreibung) = $select->fetchrow_array ) { print " <td>$Beschreibung</td>\n"; print " <td><form><input type='text' size='10' name='beschreibung'.$i></form></td>"; print "</tr>"; $i++; }
Wie ihr sehen könnt, möchte ich mit der Zählvariable "i" dafür nutzen, dass ich den Textboxen eine dynamische Benennung ("name") gebe.
Konstant ist dabei der Text "beschreibung", darauffolgend soll eine fortlaufende Zahl erscheinen, je Anzahl der Tupel aus der SQL-Datenbank.

Abfragen möchte ich dann anschließend (zum Testen) die Werte folgendermaßen:
Code: (dl )

1 2 3 4 5 6 7 8 9

#Submit-Button print '<table><tr><form action="/cgi-bin/sim.cgi" method="post"><td><input type="submit" name="beschreibunguebernehmen" value="Werte übernehmen"></td></tr></form><p><p></table>'; my $cgi = new CGI; if($cgi->param('beschreibunguebernehmen')) { print $cgi->param('beschreibung1'); }
Hier sollte nun als Ausgabe der Inhalt der ersten Textbox erscheinen, nachdem auf den Submit-Button "beschreibunguebernehmen" geklickt wurde.

Leider macht er das aber nicht.

Bitte berücksichtigt, dass ich hier nicht das komplett HTML-konform geschrieben habe (mit allen Tags, die benötigt werden).

Ich denke, ihr wisst um was es geht:
Eine Bezeichnung eines Elements dynamisch erzeugen.

Vielen Dank und Gruß
Joh.
Last edited: 2013-03-19 20:23:16 +0100 (CET)
- Gast wer
  
  2013-03-19 22:14
  Code (perl): (dl )
  
  1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19
  
  my $script_name=$ENV{SCRIPT_NAME} || $0; # ... print qq(<form action="$script_name"><table>\n); my $i=0; while ( my ($idSensoren, $Beschreibung) = $select->fetchrow_array() ) { print << EOHTML; <tr> <td>$Beschreibung</td> <td><input type="text" size="10" name="beschreibung.$i"></td> </tr> EOHTML $i++; } print "</table></form>\n"; #...
  
  Last edited: 2013-03-19 22:17:00 +0100 (CET)
- +18 replies
- Linuxer
  
  2013-03-19 22:16
  User since
  2006-01-27
  3890 Artikel
  HausmeisterIn
  Code: (dl )
  
  print " <td><form><input type='text' size='10' name='beschreibung'.$i></form></td>";
  
  Wenn Du das so im Code stehen hast, ist das meiner Meinung nach falsch.
  
  Zunächst mal das auffälligste:
  Wenn das Input-Feld den Namen "beschreibung" gefolgt von der Nummer in $i erhalten soll, dann wird das so wohl nicht klappen. Hast Du Dir mal den generierten HTML-Text angesehen?
  Das, was Du da zeigst, dürfte etwas dieser Art generieren:
  
  Code: (dl )
  
  <td><form><input type='text' size='10' name='beschreibung'.1></form></td>"
  
  Ich glaube nicht, dass das das von Dir gewünschte ist.
  Der Punkt-Operator arbeitet nicht in String-Literalen!
  
  Ich würde dafür entweder ein Template-System verwenden; oder wenn das nicht geht, wenigstens die CGI-Methoden, um das HTML generieren zu lassen. Wenn es händisch gemacht werden soll, dann solltest Du es wohl besser so schreiben:
  
  Code: (dl )
  
  print " <td><form><input type='text' size='10' name='beschreibung${i}'></form></td>"
  
  Die geschweiften Klammern sind nicht zwingend erforderlich; aber aus zwei Gründen habe ich sie eingebaut:
  1. Sollte man der Name hinter der Variable erweitert werden, so ist die Variable klar gekennzeichnet
  2. Die (kurze) Variable geht nicht im Text unter, sondern sticht durch die Klammern ein wenig hervor
  
  Außerdem scheinst Du jedes Input-Feld in ein eigenes Formular gebettet zu haben. Warum?
  Normalerweise hat man für ein Formular auch nur ein form-Tag. Dieses steht zu Beginn des Formulars.
  Last edited: 2013-03-19 22:41:37 +0100 (CET)
  meine Beiträge: I.d.R. alle Angaben ohne Gewähr und auf Linux abgestimmt!
  Die Sprache heisst Perl, nicht PERL. - Bitte Crossposts als solche kenntlich machen!
  - +17 replies
  - anamollo4music
    
    2013-03-20 08:43
    User since
    2013-03-19
    42 Artikel
    BenutzerIn
    
    Hallo zusammen,
    
    Danke erstmal für die hilfreichen Antworten.
    Ich habe es in der while-Schleife (fetchrow-Array-Schleife) nun so gelöst, dass er mir den HTML-Code so ausgibt, dass fortlaufen die Textfelder die Bezeichnung "beschreibung0", "beschreibung1", usw. haben.
    
    Jetzt habe ich aber noch das Problem, dass ich den eingegebenen Wert leider nicht ausgeben kann, wenn ich auf den "werte uebernehmen"-Button klicke.
    
    Dies versuchte ich so, um die eingegebenen Werte vom ersten Textfeld ("beschreibung0") ausgeben zu lassen:
    
    Code (perl): (dl )
    
    1 2 3 4 5
    
    if ($cgi->param('werteuebernehmen')) { print $cgi->param('beschreibung0'); #funktioniert nicht! print "Button wurde geklickt"; #das funkioniert! }
    
    Leider ohne Erfolg.
    
    Was mache ich falsch?
    
    Gruß
    - +16 replies
    - GwenDragon
      
      2013-03-20 09:05
      
      User since
      2005-01-17
      14757 Artikel
      Admin1
      
      Kann es sein, dass du keinen Submit-Button verwendet hast, der den Namen werteuebernehmen trägt?
      
      So gehts nicht?
      
      Code (perl): (dl )
      
      1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20
      
      if ($cgi->param('werteuebernehmen')) { print $cgi->param('beschreibung0'); #funktioniert nicht! print "Button wurde geklickt"; #das funkioniert! } print qq(<form action="#"><table>\n); my $i=0; while ( my ($idSensoren, $Beschreibung) = $select->fetchrow_array() ) { print qq( <tr> <td>$Beschreibung</td> <td><input type="text" size="10" name="beschreibung$i"></td> <td><input type="submit" name="werteuebernehmen"></td> </tr> ); $i++; } print qq(</table></form>\n);
      
      die Drachin Gwen
      
      Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
      - +15 replies
      - anamollo4music
        
        2013-03-20 09:16
        
        User since
        2013-03-19
        42 Artikel
        BenutzerIn
        
        Ok hat sich erledigt,
        
        hatte das Problem mit den verschiedenen Forms.
        
        Noch was: Wie kann ich es machen, dass sich beim Klick auf den Submit-Button nicht die Werte in den Textboxen löschen sondern drin stehen bleiben?
        
        Gruß
        
        Muffi
        
        2013-03-20 09:37
        
        User since
        2012-07-18
        1465 Artikel
        BenutzerIn
        
        value beim HTML-Element setzen.
        
        Code: (dl )
        
        <input type="text" name="..." value="'.($der_param_halt // '').'"...
        
        PS: Du bist recht sparsam mit escapen.
        * Sachen, die in eine DB-Query kommen nur mit "?" übergeben
        * Sachen, die im HTML stehn HTML-Escapen
        * Sachen, die in eine URL kommen URL-Escapen
        * Sachen, die in einen Javascript~~block~~string kommen JS-Escapen
        
        [EDIT] Und spätestens jetzt (+wenn die ganzen Escapes eingebaut sind) merkt man langsam, dass man in den Anführungszeichenwahnsinn kommt. Überleg dir wirklich, ob nicht ein kleines Templatesystem das ganze lesbarer machen würde.
        Last edited: 2013-03-20 09:47:31 +0100 (CET)
        1 + 1 = 10
        
        +13 replies
        
        GwenDragon
        
        2013-03-20 09:50
        
        User since
        2005-01-17
        14757 Artikel
        Admin1
        
        Code (perl): (dl )
        
        1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23
        
        my %beschreibungwerte = map { $_ => $cgi->param($_)//'' } # mach daraus einen Hashwert (notfalls mit "" besetzeten falls undefiniert) grep { /^beschreibung\d+/} # hole alle CGI-Parameter deren Namen mit beschreibung beginnt $cgi->param; # Namen aller CGI-Parameter print qq(<form action="#"><table>\n); my $i=0; while ( my ($idSensoren, $Beschreibung) = $select->fetchrow_array() ) { print qq( <tr> <td>Beschreibung</td>  <td><input type="text" size="10" name="beschreibung$i" value="$beschreibungwerte{"beschreibung$i"}" ></td> <td><input type="submit" name="werteuebernehmen"></td> </tr> ); $i++; } print qq(</table></form>\n);
        
        //EDIT:
        Was und ob du escapen/filtern musst, können wird jetzt nicht so sagen.
        Allerdings solltest du alle ans CGI übergebenen Werte darauf prüfen, ob dort gültige Werte drin sind. Ansonsten konnte jemand auch schädliches Javascript oder gar SQL einschleusen, in dem das über die CGI-Parameter abgesandt wird.
        
        "Böses" Beispiel:
        ~ test.pl beschreibung0="<script>alert(42)</script>" werteuebernehmen=1
        
        <script>alert(42)</script>Button wurde geklickt<form action="#"><table> <tr> <td>Beschreibung</td> <td><input type="text" size="10" name="beschreibung0" value="<script>alert(42)</script>"></td> <td><input type="submit" name="werteuebernehmen"></td> </tr> </table></form>
        
        Dass dann Javascript ausgeführt wird, versteht sich von selbst.
        
        Was bei SQL passieren kann, zeigt http://de.wikipedia.org/wiki/SQL-Injection.
        
        Validieren lassen sich Daten aus Formularen z. B. mit Data::FormValidator.
        Last edited: 2013-03-20 10:10:01 +0100 (CET)
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        Muffi
        
        2013-03-20 10:04
        
        Subtree with 12 replies: Werte immer escapen/filtern
        
        User since
        2012-07-18
        1465 Artikel
        BenutzerIn
        
        Quote
        Was und ob du escapen/filtern musst, können wird jetzt nicht so sagen.
        
        Da gibts eigentlich eine ganz simple Regel, die immer funktioniert:
        Alles.
        Ich würd nicht mal das $i unescaped in die Seite schreiben.
        Das geht momentan zwar super ohne, aber irgendwann wird das ganze mal erweitert und per hidden-input wird je nach Formular ein kleiner Präfix für $i mitgeschickt. Und Bumms.
        Last edited: 2013-03-20 10:18:00 +0100 (CET)
        1 + 1 = 10

View all threads created 2013-03-19 20:06.