PHP: Запустите оператор mysql_query, содержащий строку, но строка содержит строку, заданную во включенном файле, который вызывается до того, как строка установлена ​​

Question

У меня есть PHP-файл, включенный в первую строку моего основного PHP-скрипта следующим образом:

// Include obfusctated MySQL queries 
include "../../secure_storage/mysql_queries.php"; 

// $user_id stores the cookie as a variable. The cookie contains the user ID 
$user_id = $_COOKIE['storerun_user_id']; 

// Query the database to get the user's account information 
$account_query = mysql_query($account_query_sql); 

Прилагаемый PHP файл содержит следующую строку кода:

$account_query_sql = "SELECT `first_name`, `last_name`, `email`, `password`, `referral_link`, `street_address`, `floor_apartment_number`, `notes`, `ecocash_number` FROM `users` WHERE `user_id` = '$user_id'"; 

Причина в том, что я запутывания запросов SQL и размещение их в директории от корня на сервере.

Проблема заключается в том, что включенный файл содержит SQL-запрос, содержащий $ user_id, но строка устанавливается только после того, как файл включен. Любые идеи по использованию моей установки и возможности запуска mysql_query? Я все время пытался понять это в своей голове. Конечно, есть способ сделать это.

Answer 1

Дак, я бы не стал беспокоиться о том, чтобы скрывать ваши запросы sql. Тем не менее, если вы хотите сделать это, можно добавить строку заменить заявление только до вашего заявления базы данных запроса и редактировать включаемый файл использовать «search_item», например:

str_replace('search_item', $user_id, $account_query_sql); 

и включен файл будет определять $ account_query_sql, как показано ниже.

$account_query_sql = "SELECT `first_name`, `last_name`, `email`, `password`, `referral_link`, `street_address`, `floor_apartment_number`, `notes`, `ecocash_number` FROM `users` WHERE `user_id` = 'search_item'"; 

Answer 2

Просто измените порядок вашего кода:

$user_id = $_COOKIE['storerun_user_id']; 

include "../../secure_storage/mysql_queries.php"; 

PHP не может путешествовать во времени, поэтому ваш код должен выполнить действия, описанные в соответствующем порядке - создать переменные ПЕРЕД вы пытаетесь использовать их , не после.

Обратите внимание, что вы уязвимы для sql injection attacks.