MySQL Query mit Variablen

[freakXHTML]

Hallo zusammen,
ich bin mit meiner Datenbank verbunden. Folgender Befehl mit bereits bekanntem Text funktioniert:

$write = 'INSERT INTO guestbook(Datum,Autor,Inhalt) VALUES (NOW(),"Peter", "Text");';
$db->query($write);

Der Benutzer gibt nun aber den Namen und den Text über ein Formular ab. Die Daten werden im superglobalen Array $_POST gespeichert. Das Folgende funktioniert nicht. Warum?

$autor = $_POST['Autor'];
$inhalt = $_POST['Inhalt'];
$write = "INSERT INTO guestbook(Datum,Autor,Inhalt) VALUES (NOW(),$autor, $inhalt);";
$db->query($write);

Es kommt kein Fehler, doch es wird einfach gar kein Eintrag in meiner Datenbank gemacht. Warum? Was muss ich ändern?

Vielen Dank
lg, freakXHTML

 

[crash]

Strings müssen eben auch in SQL in " oder ' stehen. Was du da treibst fordert gerade zu Injections auf. Du willst prepare() und bind_result() benutzen: PHP: mysqli:repare - Manual, oder deine POST-Variablen escapen: http://www.php.net/manual/en/mysqli.real-escape-string.php

 

[aJunkie]

escapen, damit es keine Probleme mit '" im String selber gibt?

<im_string>Hallo Ihr's, was macht'n ihr?</im_string>
würde Probleme machen, weil da ' im Text enthalten sind? Stimmt's?
Oder hat das noch andere Hintergründe?

 

[crash]

SQL-Injection

 

[aJunkie]

Gut, dachte ich mir. Wollte es nur mal bestätigt haben. Danke. ^^