Inserimento stringa

[Antares82]

Salve ragazzi,
non riesco a fare una cosa....


Ho una tabella RIUNIONI con un campo assenze.
Ho creato un form in cui chi non può venire alle riunioni compili dei campi e poi vorrei fare un controllo che se in tabella è già presente quell'utente la nuova riga inserita avrà il campo assenze incrementato di uno.
Non inserisce la stringa...aiutatemi please

form principale:

<form enctype="multipart/form-data" id="ArtForms" name="ArtForms" method="get" action="/jumi_includes/accredito/esito_cancellazione.php">


      <table>


         <tr>
         <td>
         <div style="color:blue">Nome:<>
         </td>
         <td> 
         <div style="float: left; margin-top: 5px;">
               <input  style="border:1px inset #591B3F;" id="nome" type="text" value="" maxlength="70" size="15" name="nome" class="inputbox"/>
         <>
         </td>
         </tr>
         <tr>
         <td>       
         <div style="color:blue">Cognome: <>
         </td>
         <td>
         <div style="float: left; margin-top: 5px;">
               <input  style="border:1px inset #591B3F;" id="cognome"  type="text" value="" maxlength="70" size="15" name="cognome" class="inputbox"/>
         <>
         </td>
         </tr>
         <tr>
         <td>
         <div style="color:blue">Password: <>
         </td>
         <td>
         <div style="float: left; margin-top: 5px;">
               <input  style="border:1px inset #591B3F;"  id="password" type="password" value="" maxlength="70" size="15" name="password" class="inputbox"/>
         <>
         </td>
         </tr>
         <tr>
         <td>       
         <div style="color:blue">R.T.O.: <>
         </td>
         <td>
         <div style="float: left; margin-top: 5px;">
               <select name="rto" id="rto" >
               <option value="art1">Seleziona riunione</option>
               <option value="art2">07.06.2013</option>
            </select>
         <>
         </td>
         </tr>
         <tr>
         <td>       
         <div style="color:blue">Motivo: <>
         </td>
         <td>
         <div style="float: left; margin-top: 5px;">
               <INPUT TYPE="radio" NAME="motivo" VALUE="Salute" > <font color=”black”>Salute</font>
               <INPUT TYPE="radio" NAME="motivo" VALUE="Lavoro" > <font color=”black”>Lavoro</font>
               <INPUT TYPE="radio" NAME="motivo" VALUE="Altro" >  <font color=”black”>Altro</font>
         <>
         </td>
         </tr>
                  <tr>
         <td>       
         <div style="color:blue">Commenti: <>
         </td>
         <td>
         <div style="float: left; margin-top: 5px;">
         <TEXTAREA NAME = "commenti" ROWS = "8" COLS = "40" ></TEXTAREA>
               
         <>
         </td>
         </tr>
         
         <tr>
         <td>
         <div style="float: left; margin-top: 5px;">
         <input type="submit" name="submit" id="submit" value="Invia Assenza" />
            
         <>


         </table>
         
   <table class="tablelogin">
   </table>
   <>
</form>

action: esito_cancellazione.php

   <?php     
   
$connessione = mysql_connect("localhost","*******","*****")or die("Connessione non riuscita: " . mysql_error());


mysql_select_db("********", $connessione) or die("Errore nella selezione del database");   
                                                               
$nome=$_GET['nome'];
$cognome=$_GET['cognome'];
$rto=$_GET['rto'];
$motivo=$_GET['motivo'];
$commenti=$_GET['commenti'];
$password=$_GET['password'];


$cur="SELECT id,nome,cognome,password from utenti where cognome='$cognome' AND nome='$nome' AND password='$password'";
$query = mysql_query($cur,$connessione);


if ($riga = mysql_fetch_row($query)){
   $idArbitro = $riga[0];
   $aaa = $riga[1].$riga[2];
    $p = $riga[3];
}  


if($idArbitro>=0){
  $curPres = "SELECT assenze FROM riunioni WHERE idArbitro=$idArbitro";
  $queryPres = mysql_query($curPres,$connessione);
  $cont = $rigaPres[0]+1;
    
   
    $pass = mysql_escape_string($p);
    $cur3="INSERT INTO riunioni (arbitro, idArbitro, assenze, rto, password, motivo, commenti) VALUES ($aaa, $idArbitro, $cont, $rto, $motivo, $commenti,'$pass')";
    mysql_query($cur3,$connessione); 
    echo "Registrazione assenza avvenuta!";
}else{                        
  echo "Assenza non inoltrata";


}
          ?>

 

[borgo italia]

ciao
prima di passere all'incremento delle utenze alcune cose:
non usare il metodo GET, ma POST
i vari dati che provengono dal form devono essere verificati prima di accedere a qualsiasi operazione sul db
non ho guardato tutto ma se un malentenzionato scrive la password cosi
A' OR password= '
al db invii la query
SELECT ..... WHERE cognome='pinco' AND nome='pallo' AND password='A' OR password=''";
per cui un pinco pallo qualsiasi può accedere
secondo me lo script è da riguardare tutto, anche perche non vedo cosa succede in casi i immissioni errate o inestienti nel db

 

[Antares82]

ok tnx...cmq ho risolto