我正在尝试创建一个使用 facebook 的评论系统。我使用 php 和 jquery。我的代码完美无缺。用户在 textarea、comment_1 中写了一些东西并发布。 Comment_1 成功出现在文本区域的正下方。如果我刷新页面，我可以看到开头张贴的 comment_1。如果我尝试发布新评论 (comment_2)，则 comment_2 会出现在 comment_1 下，comment_1 会再次出现在 comment_2 下。例如:

开头:comment_1

刷新并发表新评论后:comment_1/ comment_2 comment_1 如您所见，刷新页面后，它放置了 comment_2 和 comment_1，但也将 comment_1 保留在它们之上(就像将 comment_1 保留在其“内存”中)。如果我刷新页面，我将得到 comment_2 comment_1，这是我最终想要的，但是如果不刷新我怎么能做到这一点呢？这是我的代码:

墙.php

<?php

<script> 
$(document).ready(function(){                           
$("#comment_process").click(function(){
    if($("#comment_text").val() != ""){ 
        $.post("comments.php?action=post", { comment: $("#comment_text").val() }, function(data) {
            $(".comments").html(data);
            $("#comment_text").val("");
        });
    } 
});   
});   
</script>


<div class="comment_container">
<div class="comment_form">

<textarea id="comment_text" ></textarea>
<input type="button" id="comment_process" value="Post"/>

</div>
</div>

<?php include_once("comments.php");?>

<div class="comments">   </div>

?>

这是 comments.php

<?php
function getComments(){

$comments = "";
        // use desc order by date in order to display comments by date
        $sql = mysql_query("SELECT * FROM comments ORDER BY comment_date DESC ") or die (mysql_error());

        if(mysql_num_rows($sql) == 0){
                $comments = " <div class='each_comment'> There are no comments ...</div> ";
        }else{
            while ($row= mysql_fetch_assoc($sql)){          
                $comments .= "<fieldset> Stefanos Says : <div class='each_comment'>  <small><em> ".$row['comment_date']." </em></small><br />".$row['comment']."</div></fieldset>  </br>"; 
            }
        }

        return $comments;  

    }


function postComments($comment){

        $comment = mysql_real_escape_string(strip_tags($comment));
        $sql = mysql_query(" INSERT INTO `comments` (comment, comment_date) VALUES ('".$comment."', now()) ");
        return true;

    }



    if((isset($_GET['action'])) && ($_GET['action'] == "post")) {
        postComments($_POST['comment']);
    }

echo getComments();
?>

最佳答案

评论显示错误的问题

这里的问题是您没有清除原始评论。

移动<?php include_once("comments.php");?>进入这个 div:

<div class="comments"> </div>

这样，当您使用 javascript 向该 block 写入评论时，页面加载时加载的原始评论将被替换。

MySQL 注入(inject)和 mysql 的明显问题扩展名

正确做法

您应该如何清理 SELECT 语句的字符串:

$data = mysql_real_escape_string($_POST['some_data']);
$query = mysql_query("SELECT * FROM some_table WHERE some_value = '$data'");

您应该如何清理 SELECT 语句的整数:

$data = (int) $_POST['some_data'];
$query = mysql_query("SELECT * FROM some_table WHERE some_value = $data");

请注意，整数周围没有引号。

明显的漏洞

Mathew 在评论中正确地指出了这种品牌的 select 语句(由 ircmaxell 演示)不能正确地防止 SQL 注入(inject)攻击:

$data = mysql_real_escape_string($_POST['some_data']);
$query = mysql_query("SELECT * FROM some_table WHERE some_value = $data");

然而，这并不是一个漏洞，而是对函数的滥用，没有在 $data 周围加上引号。我们建议我们正在搜索一个整数，但我们已经将输入作为字符串进行了清理。

如果它是一个整数字段，我们应该将输入值转换为整数。如果它是一个字符串字段，则在查询中它应该有引号。这里所显示的只是一个函数可能被错误地使用。

作为您的 SELECT语句不接受任何用户输入，只选择所有评论，无论如何都没有这种注入(inject)的机会。

关于php - 我的 php、jquery 评论系统无法按正确顺序显示评论，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/18079291/