Php pdo inserting firm with session data

Question

Я работаю над приложением, которое имеет различные формы, которые пользователь может заполнить и отправить. Например, художник может отправить свое видео через форму, и этот фильм будет сохранен и загружен в базу данных. Однако мне бы хотелось, чтобы при отправке формы для автоматического подключения идентификатора пользователя и userEmail к форме при ее отправке, чтобы я мог легко проверить идентификатор пользователя или адрес электронной почты при возврате данных. Я пробовал несколько разных способов сделать это, и ничего не сработало, поэтому любая помощь очень ценится. Я также использую внешние ключи в своих таблицах базы данных, но я не понимаю, как это работает при подключении к таблице. Так вот мои настройки таблицы для пользователей и фильмы таблицы пользователей Таблицы

 CREATE TABLE IF NOT EXISTS.   `users` (
     `userID` int(11) NOT NULL.  AUTO_INCREMENT, 
      `userEmail` varchar(100) NOT NULL, 
     `userPass` varchar(100) NOT NULL, 
     `userType` varchar(6) NOT NULL, 
      `agreement` enum('Yes', 'No') NOT NULL, 
     `userStatus` enum('Y','N') NOT NULL. DEFAULT 'N', 
     `tokenCode` varchar(100) NOT NULL, 
     PRIMARY KEY (`userID`), 
      UNIQUE KEY `userEmail` (`userEmail`) 
     ) ENGINE= MyISAM DEFAULT.   CHARSET=latin1.  AUTO_INCREMENT=1 ; 

Фильмы

   CREATE TABLE `movies` (
      `userID` int(11) NOT NULL, 
       `userEmail` varchar(250) NOT.  NULL, 
       `movie_name` varchar(300) NOT NULL, 
       FOREIGN KEY (userID) Refrences users(userID), 
       FOREIGN KEY (userEmail) REFRENCES users(userEmail), 
       UNIQUE KEY `movie_name` (`movie_name`) 
       ) ENGINE=MyISAM DEFAULT.    CHARSET=latin1; 

страница Формы здесь (я попытался добавить данные сессии в POST здесь и попытался метод GET для добавления данных SESSION, ни один из которых не работал)

if(isset($_POST['submit'])) 
{ 
$email = trim($_POST['email']); 
$movie = trim($_POST['movie']); 

if($user_home->upload($email, $movie)) 
{ 
    header("Location: Artist_Uploads.php?inserted"); 
} 
else 
{ 
    header("Location: Artist_Uploads.php?failure"); 
} 
} 

<form action="Artist_Uploads.php" method="post" name="upload"> 
<input name="email" type="hidden" value="<?php echo. htmlentities($row['userEmail']); ?>" /> 
<input name="movie" type="text" /> 
<input name="submit" type="submit" /> 
</form> 

Страница, обрабатывающая форму заявки

public function upload($email,$movie)  { try 

    { 
    $stmt = $this->conn->prepare("INSERT INTO movies(userEmail, movie_name)  VALUES(:email, :movie)"); 
    $stmt->bindValue(":email",$email); 
    $stmt->bindparam(":movie",$movie); 
    $stmt->execute(); 
    return true; 
    } 
    catch(PDOException $e) 
    { 
    echo $e->getMessage(); 
    return false; 
    } 

} 

Я попытался вставить lasted() под возвратом true и перед возвратом true.
Пробовал добавлять VALUES ('', '$ _ SESSION [cuserID]', '$ _ SESSION [userEmail]', ''): movies ") ;. Я также попытался добавить данные _SESSION в bindValue или bindCol ни из те, кто работал либо. Я также попытался добавить INSERT INTO фильмы FROM users.userID, users.userEmail, но это тоже не сработало.

Так что я не знаю, как заставить его вставлять userID и userEmail без вывода его в форма затем вставляет его таким образом, но это кажется опасным и открытым для инъекций, потому что кто-то может легко манипулировать этой информацией, или получить идентификатор пользователя и начать играть с ним. Поэтому любые предложения или указатели будут очень благодарны.

Answer 1

Идентификатор пользователя или имя пользователя, которое вы используете для уникально и постоянно идентифицировать каждого пользователя следует хранить в сеансе сразу после аутентификации пользователя. Я говорю постоянно, потому что, используя электронную почту, а затем даже настраивая внешние ограничения по электронной почте, вы ищете мир боли. Не делай этого. Используйте то, что никогда не будет изменено пользователем. Обычно пользователям не разрешается изменять свое имя пользователя, и было бы бессмысленно давать пользователю возможность изменять свой идентификатор пользователя.

Сначала вы аутентификация (что-то вроде этого):

<?php 

if ($user->authenticate($_POST['username'], $_POST['password'])) { 
    session_start(); 
    $_SESSION['userid'] = $user->getUserId(); 
} 
else { 
    echo "invalid password"; 
} 

При последующих запросах, убедитесь, что вы session_start() первые, а затем вы можете просто получить информацию из базы данных, используя значения, хранящиеся в сессии. Не нужно отправлять его в форму. Фактически, отправка его в форме будет огромной угрозой безопасности, потому что люди могут загружать видео на учетные записи других пользователей.

session_start(); 

// Make sure user is logged in 
if (!isset($_SESSION['userid'])) { 
    header("Location: login.php"); 
} 

// Pull their info from the database 
$stmt = $this->conn->prepare("SELECT * FROM users WHERE userid = ?"); 
$stmt->bindValue(1, $_SESSION['userid']); 
$stmt->execute(); 
$user = $stmt->fetch(); 

Затем вы можете выполнять другие запросы на основе значений, которые вы получаете в $user. Подобно тому, что я упоминал ранее, избавьтесь от электронных писем из таблиц, где это не имеет значения. Вы дублируете информацию по таблицам, и изменение значения будет очень сложным.Вы также хотите добавить какой-то уникальный способ идентификации фильмов, а также:

CREATE TABLE `movies` (
    `movieID` int(11) NOT NULL.  AUTO_INCREMENT, 
    `userID` int(11) NOT NULL, 
    `movie_name` varchar(300) NOT NULL, 
    FOREIGN KEY (userID) Refrences users(userID), 
    UNIQUE KEY `movie_name` (`movie_name`) 
    ) ENGINE=MyISAM DEFAULT.    CHARSET=latin1; 

Тогда запрос:

public function upload($userid,$movie)  { 
    try 
    { 
     $stmt = $this->conn->prepare("INSERT INTO movies(userID, movie_name)  
      VALUES(:userid, :movie)"); 
     $stmt->bindValue(":userid",$userid); 
     $stmt->bindparam(":movie",$movie); 
     $stmt->execute(); 
     return true; 
    } 
    catch(PDOException $e) { 
     echo $e->getMessage(); 
     return false; 
    } 
} 

Answer 2

Есть несколько вопросов, здесь происходит. Я не могу сказать, что полностью понимаю ошибки, которые вы видите (пожалуйста, размещайте сообщения об ошибках как часть вопроса).

Однако я вижу потенциально значимую проблему с вашей схемой таблиц. Если таблица movies имеет users.userID в качестве внешнего ключа, то не обязательно должен иметь атрибут userEmail (или связанный с ним внешний ключ), поскольку эта информация получается путем объединения users и movies по адресу userID. Кроме того, попытка создания внешнего ключа на userEmail является дополнительной проблемой, так как users.userEmail не гарантирует уникальность.

Answer 3

Ответ:

На странице, которая обработает форму сделайте следующее

If (isset ($_POST ['submit'])) 
    { 
$email = $_SESSION ['userEmail']; 

Все остальное нормально, и она прекрасно работает. Просто убедитесь, что у вас установлены сеансы, или это не сработает.