Vysvětlení základních principů PHP - reakce na učebnici php*

filter_var($hodnota, FILTER_VALIDATE_EMAIL) //vyhovuje hodnota emailu - vrátí true
if(!Email($_POST['email'])) //podmínka splněna, pokud se vrátí false

// 1. SQL dotaz je v uvozovkách "...."
"SELECT * FROM `tabulka`"
// 2. Porovnáváme číslo - datový typ (dále budu psát DT) je int
"SELECT * FROM `tabulka` WHERE `id` = 3"
// 3. Jméno tabulky a jméno sloupce možno dávat s `...`, nebo bez
// 4. Porovnáváme text - DT varchar, text atd.
"SELECT * FROM `tabulka` WHERE `text` = 'blabla'" //3 čárky jsou jedna jednoduchá uvozovka a jedna dvojitá
// nebo možná i takto
"SELECT * FROM `tabulka` WHERE `text` = ".'blabla'   //když zde dotaz končí, asi to stačí takto.
"SELECT * FROM `tabulka` WHERE `text` = ".'blabla'." AND ............."
// 5. Proměnná
"SELECT * FROM `tabulka` WHERE `text` = '$mojepromenna'"
"SELECT * FROM `tabulka` WHERE `text` = ".$mojepromenna
"SELECT * FROM `tabulka` WHERE `text` = ".$mojepromenna." AND .........."
//jeli $mojepromenna typu int - ukládáme číslo do DT int. Je-li v $mojepromenna string - ukládáme jako string do DT např. varchar
// 6. Složitější proměnná ve které normálně používáme apostrofy
"SELECT * FROM `tabulka` WHERE `text` = '$_POST[email]'"
"SELECT * FROM `tabulka` WHERE `text` = '{$_POST['email']}'"
"SELECT * FROM `tabulka` WHERE `text` = ".$_POST['email']." AND ......."
// Krom toho vstup od uživatele by měl být ošetřen.
"SELECT * FROM `tabulka` WHERE `text` = ".mysql_real_escape_string($_POST['email'])." AND ......."
// 7. Tím jsem narazil na použití funkce v SQL dotazu
"UPDATE `uzivatele` SET `heslo` = '".sha1($NoveHeslo)."' WHERE `user`= '{$_POST['user']}'"
// 8. Takové syntaxe s použitím funkce se asi použije při vkládání datumu do DT-DATE
"UPDATE `uzivatele` SET `datum` = '".date(??????)."' WHERE `user`= '{$_POST['user']}'"
// 9. Pravidla budou asi naprosto stejná pro všechny typy dotazů. UPDATE, SELECT, INSERT
// 10. A poslední věc, která mě cca za týden čeká a absolutně zatím o ní nevím nic, je ukládání obrázku do DT-BLOB

'/obrazky/obrazek.jpg'

'\/obrazky\/obrazek\.jpg'

<?php     
// 1. Soubor zavolá nový user - chce se přidat do DB
// 2. Soubor se zavolá po odeslání formuláře - neprošel kontrolou
// 3. Soubor je zavolán z emailu - dokončení registrace.

// Soubor uloží data pouze do tabulky 'USER' a po potvrzení z emailu změní 'potvrzeni'=1
// Tabulka 'USER'
// |---id---|---nick---|---email---|---heslo---|---potvrzeni---|

// Do emailu se pošle odkaz na tento soubor a odkazem se předají hodnoty:
/* `USER['id']`==$_GET['id']
    `USER['nick']`==$_GET['nick']
    $kod==$_GET['kod']
    
    Kontrola formuláře:
    Odeslaný form odesílá $_POST['enter'] a pokud neprojde kontrolou, tak se naplní pole #hlaska[]
*/


require_once dirname(__FILE__).'/connect.php';        //není hotovo
require_once dirname(__FILE__).'/function.php';        //není hotovo

//---------KONTROLA FORMULARE-------------
$hlaska = array();
include './kontrola.php';        //není hotovo - funkce pro kontrolu formulářů

if (isset($_POST['enter'])) {                //form byl odeslán

    foreach ($_POST as $key => $value) {
        $_POST[$key] = odstranBileZnaky($_POST[$key]);        //odstranění bílých znaků
        $_POST[$key] = addslashes($_POST[$key]);                //escapování - bezpečnost
        }

    if(!empty($_POST['nick'])) {        //pokud nick není prázdný - zkontroluj existenci v DB
        $query = "SELECT * FROM `USER` WHERE `nick` = '" . $mysqli->real_escape_string($_POST['nick']) . "'");
        if ($mysqli->query($query)) {     
            $hlaska['nick'] = 'Přezdívka je již použita. Zvolte prosím jinou';
            }
        }
        else {$hlaska['nick'] = 'Přezdívka je poviná položka';}

    if(!empty($_POST['email'])) {                                            //kontrola emailu
        if(!jeEmai($_POST['email'])) {$hlaska['email'] = 'Špatně vyplněn email!';}
        }
        else {$hlaska['email'] = 'Email je poviná položka!';}
        
    if(!empty($_POST['heslo'])||!empty($_POST['heslo2'])) {        //kontrola hesla
        if(kontrolujHeslo($_POST['heslo'], $_POST['heslo2'])) {$hlaska['heslo'] = 'Špatně vyplněno heslo!';}
        }
        else {$hlaska['heslo'] = 'Nevyplnili jste heslo';}
    
    if($_POST['robot'] != 'nejsemspam') {        // kontrola proti spamu
        $hlaska['robot'] = 'Neprošla kontrola proti spamu';
        }
        
}


//---------------KONTROLA VSTUPU------------
if(isset($_GET['id'])&&isset($_GET['nick'])&&isset($_GET['kod'])) {        //vstup je z emailu - dokončit registraci
    
    // načti data z DB 
    $query = "SELECT * FROM `USER` WHERE `id` = '$_GET[id]' AND `nick` = '$_GET[nick]'";
    if ($result = $mysqli->query($query)) {
        $row = $result->fetch_assoc())             /* fetch associative array */           
        $result->close();                                /* free result set */
        }
    
    // kontrola $kod - aby někdo nemohl podstrčit adresu ručně + kontrola hodnoty potvrzeni
    $kod = $row['id']*3/2;
    if(($_GET['kod']) != $kod || $row['potvrzeni']!=0 || $_GET['id']!= $row['id'] || $_GET['nick']!= $row['nick'] || $_GET['email']!= $row['email']) {
        header("Location: chyba.php");        //přesměruj na chybovou stránku
        }
        else {                                        // změna hodnoty `potvrzeni`
            if($mysqli->query("UPDATE `USER` SET `potvrzeni` = 1 WHERE `nick`= '$_GET[nick]' AND `id` = '$_GET[id]'")) {
                header("Location: login.php?registrace=ok")            // vše OK - přesměrovat na přihlášení
                }
                else {header("Location: chyba.php");}
            }
    
    
    
    }
elseif(isset($_POST['enter']) && empty($hlaska)) {                //form odeslán a prošel kontrolou
    
    // uložit data do DB             |---id---|---nick---|---email---|---heslo---|---potvrzeni---|
    $statement = $mysqli->prepare("INSERT INTO `USER` VALUES (?,?,?,?,?)");
    if(!$statement) { echo("Příprava SQL dotazu selhala: ".$mysqli->error); }
    $statement->bind_param("isssi", '', $_POST['nick'], $_POST['email'], sha1($_POST['heslo'], 0));    
    $statement->execute();
    $statement->close();

    // nachystat email a odeslat
    $query = "SELECT * FROM `USER` WHERE `nick` = '$_POST[nick]'";
    if ($result = $mysqli->query($query)) {
        $row = $result->fetch_assoc())             /* fetch associative array */           
        $result->close();                                /* free result set */
        }
    
    $kod = $row['id']*3/2;
    
    $mail = $_POST['email'];
    $predmet = 'Registrace do databáze chovatelů';
    $zprava = "Děkujeme za registraci.\r\n Pro dokončení registrace navštivte prosím následují odkaz\r\n ."&id=".$_POST['id]http://www.zocschmoravskebranice.eu/DB-chovatelu/registrace.php.?kod=".$kod."&nick=".$_POST['nick']."&id=".$_POST['id'];    
    
    if (cs_mail($mail, $predmet, $zprava, "From: ".$mail.PHP_EOL)) {
        header("Location: konec.php");            // přesměrovat na konečnou stránku
            }
            else {echo "Chyba! Selhalo odeslání emailu pro dokončení registrace. Kontaktujte prosím administrátora.";}    

    }
    else { include './form-registrace.php'; }                                //form ještě nebyl odeslán, nebo neprošel kontrolou


$mysqli->close();

?>

"...WHERE `col1` = '".$mysqli->real_escape_string($prom1)."' AND `col2` = '".$mysqli->real_escape_string($prom2)."' AND atd atd atd

"SELECT * FROM `USER` WHERE `id` = ".$mysqli->real_escape_string($_GET['id'])
...
...
if(($_GET['kod']) != $kod || $row['potvrzeni']!=0 || $_GET['id']!= $row['id'] || $_GET['nick']!= $row['nick'] || $_GET['email']!= $row['email'])

"SELECT * FROM `USER` WHERE `id` = ".$mysqli->real_escape_string($_GET['id'])

"SELECT * FROM `USER` WHERE `id` = ".intval($_GET['id'])