🚀 go-pugleaf

sunriseweb.lublin@gmail.com wrote:

> Witam,
> mój problem wygląda następująco:
> mam generowany automatycznie element formularza typu 'select'
> 
> <select onchange="this.form.submit();" id="filter_Temat" name="temat">
> 
> <?php
> 
> $wynikiQS = get_custom('wnioski_tematy');
> $wynikiQS = explode('|',$wynikiQS);
> foreach ( $wynikiQS as $wynikQS ) {
> 
>        if (($_POST['temat']) == $wynikQS) echo '<option
>        value="'.$wynikQS.'" class="filterItem"
>        selected>'.$wynikQS.'</option>';
>         else echo '<option value="'.$wynikQS.'"
>         class="filterItem">'.$wynikQS.'</option>';
>                                         } ?>
> </select>
> 
> Wybranie jakiejś opcji generuje zmienną $_POST['temat']
> 
> następnie wyszukuję w bazie danych rekordy spełniające warunek:
> 
> if (!empty($_POST['temat'])) {
> $temat = $_POST['temat'];
> $resultsT = $wpdb->get_results( 'SELECT post_id FROM wp_postmeta WHERE
> meta_key = "temat" AND meta_value = "'.$temat.'"', OBJECT );
> 
> $wynikiQS jest pobierany z bazy danych
> Strona jest na wordpressie.
> 
> Problem polega na tym, że zapytanie zawsze zwraca pusty wynik. Nawet jeśli
> istnieją wiersze, dla których meta_value zgadza się z tym co jest w
> zmiennej $_POST['temat'] Jeśli natomiast wpiszę do zapytania zamiast
> $temat, np. 'Temat 1' zapytanie zwraca odpowiednie rekordy.

po pierwsze i najważniejsze - SQL injection

po drugie: 
print_r($_POST);
po trzecie: 
echo 'SELECT post_id FROM wp_postmeta WHERE meta_key = "temat" AND 
meta_value = "'.$temat.'"';


-- 
Pozdrawiam
Lemat