Kunden und Adressen auf Prepared Statements umgebaut
incs/saveNchange.php neu geschrieben: Adressen, Telefonnummern, Kontakte, Notizen und Konten laufen ueber db_abfrage() mit Platzhaltern, mehrschrittiges Speichern in einer Transaktion. Weil sich die Speicherfunktionen gegenseitig aufrufen, klammern beginneSpeichern()/beendeSpeichern() die Verschachtelung; incs/rechnung.php nutzt sie ebenfalls. Kunden- und Lieferantenseiten waren zwei fast gleiche Kopien und teilen sich jetzt partnerAddSeite(), partnerChangeSeite() und partnerShowDaten(). Dabei behoben: - SQL-Injektion ueber die Suchbegriffe der Kunden-, Lieferanten-, Adress-, Kommissions- und Projektsuche sowie ueber die Artikel-Autovervollstaendigung - gespeichertes XSS: Notizen (nl2br escapt nicht), Bankname, Dokumenttyp, Namen und Adressen in allen Trefferlisten - sites/liefershow.php war unter PHP 8 ein Fatal ($kdnres.id) - "Telefonnummer loeschen" im Kundenbereich lief in einen Fatal, die Nummern einer geloeschten Adresse blieben stehen (Spalte hiess adress_id statt adresse_id, mysql_fetch_assoc gibt es nicht mehr) - Geburtstag ohne Jahr wurde im Formular verschluckt, die IBAN kam beim Bearbeiten aus $_GET statt aus dem Konto - die Versionskette eines Kunden brach nach einem Schritt ab - Kommissionsadressen speicherten die Ortsangabe der Adresse statt der des Telefonformulars und einen Adresstyp als Telefontyp - Blaettern in den Trefferlisten: ohne ORDER BY konnte dieselbe Zeile zweimal oder gar nicht erscheinen; ajax_searchadress() bekam die Seite nicht - Hauptadresse laesst sich nicht mehr loeschen, Kundendaten nicht mehr ueber die Lieferantenseite (und umgekehrt) - ajax/auto/* baute JSON von Hand zusammen, ein Anfuehrungszeichen im Ort machte die Liste unbrauchbar Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
Claude Opus 5
+6
-190
@@ -1,191 +1,7 @@
|
||||
<?php
|
||||
<?php
|
||||
require_once "incs/saveNchange.php";
|
||||
if($_GET["do"] == "adress")
|
||||
{
|
||||
if($_GET["del"] == 1)
|
||||
{
|
||||
$adressid=mysql_escape_string($_GET["adressid"]);
|
||||
$qry=mysqli_query($dbconn,"SELECT vname, nname, firma, typ, partner.id FROM adresse
|
||||
JOIN adresstyp ON adresstyp.id = adresse.typ_id
|
||||
JOIN partner ON partner.id = adresse.partner_id
|
||||
WHERE adresse.id = '$adressid' AND partner.typ_id = 2") or $err=error("Fehler beim abrufen der Informationen für die LOG:<br />".mysqli_error($dbconn));
|
||||
$res=mysqli_fetch_array($qry);
|
||||
$vname = $res[0];
|
||||
$nname = $res[1];
|
||||
$firma = $res[2];
|
||||
$typ = $res[3];
|
||||
$kdnr = $res[4];
|
||||
if($kdnr)
|
||||
{
|
||||
$qry=mysqli_query($dbconn,"DELETE FROM adresse WHERE id = '$adressid'") or $err=error("Fehler beim löschen der Adresse:<br />".mysqli_error($dbconn));
|
||||
if(!$err)
|
||||
{
|
||||
$err = saveLog($dbconn,"DELETE FROM adresse WHERE id = $adressid [$typ von Kunde $kdnr ($vname $nname - $firma)]","","löschen");
|
||||
if(!$err)
|
||||
doneNreturn("Erfolgreich gelöscht!");
|
||||
}
|
||||
}
|
||||
else
|
||||
{
|
||||
$err = error("Ungültiger Lieferant!");
|
||||
}
|
||||
}
|
||||
elseif($_GET["formsent"] == 1)
|
||||
{
|
||||
$err = saveAdress($dbconn);
|
||||
if(!$err)
|
||||
doneNreturn("Erfolgreich erledigt!");
|
||||
}
|
||||
else
|
||||
{
|
||||
dispAdressForm($dbconn,$smarty,2);
|
||||
}
|
||||
}
|
||||
elseif($_GET["do"] == "tel")
|
||||
{
|
||||
if($_GET["del"] == 1)
|
||||
{
|
||||
$telid=mysql_escape_string($_GET["telid"]);
|
||||
$qry=mysqli_query($dbconn,"SELECT typ, partner.id FROM tel
|
||||
JOIN teltyp ON teltyp.id = tel.typ_id
|
||||
JOIN partner ON partner.id = tel.partner_id
|
||||
WHERE adresse.id = '$adressid' AND partner.typ_id = 2") or $err=error("Fehler beim abrufen der Informationen für die LOG:<br />".mysqli_error($dbconn));
|
||||
$res=mysqli_fetch_array($qry);
|
||||
$typ = $res[0];
|
||||
$kdnr = $res[1];
|
||||
if($kdnr)
|
||||
{
|
||||
$qry=mysqli_query($dbconn,"DELETE FROM tel WHERE id = '$telid'") or $err=error("Fehler beim löschen der Telefonnummer:<br />".mysqli_error($dbconn));
|
||||
if(!$err)
|
||||
{
|
||||
$err = saveLog($dbconn,"DELETE FROM tel WHERE id = $telid [$typ von Kunde $kdnr]","","löschen");
|
||||
if(!$err)
|
||||
doneNreturn("Erfolgreich gelöscht!");
|
||||
}
|
||||
}
|
||||
else
|
||||
{
|
||||
$err = error("Ungültiger Lieferant!");
|
||||
}
|
||||
}
|
||||
elseif($_GET["formsent"] == 1)
|
||||
{
|
||||
$err = saveTel($dbconn);
|
||||
if(!$err)
|
||||
doneNreturn("Erfolgreich erledigt!");
|
||||
}
|
||||
else
|
||||
{
|
||||
dispTelForm($dbconn,$smarty,2);
|
||||
}
|
||||
}
|
||||
elseif($_GET["do"] == "kontakt")
|
||||
{
|
||||
if($_GET["del"] == 1)
|
||||
{
|
||||
$kontaktid=mysql_escape_string($_GET["kontaktid"]);
|
||||
$qry=mysqli_query($dbconn,"SELECT konatkttyp.typ, partner.id FROM kontakt
|
||||
JOIN kontakttyp ON kontakttyp.id = kontakt.typ_id
|
||||
JOIN partner ON partner.id = kontakt.partner_id WHERE kontakt.id = '$kontaktid' partner.typ_id = 2") or $err=error("Fehler beim abrufen der Informationen für die LOG:<br />".mysqli_error($dbconn));
|
||||
$res=mysqli_fetch_array($qry);
|
||||
$typ = $res[0];
|
||||
$kdnr = $res[1];
|
||||
if($kdnr)
|
||||
{
|
||||
$qry=mysqli_query($dbconn,"DELETE FROM kontakt WHERE id = '$kontaktid'") or $err=error("Fehler beim löschen der Kontaktinformation:<br />".mysqli_error($dbconn));
|
||||
if(!$err)
|
||||
{
|
||||
$err = saveLog($dbconn,"DELETE FROM kontakt WHERE id = $kontaktid [$typ von Kunde $kdnr]","","löschen");
|
||||
if(!$err)
|
||||
doneNreturn("Erfolgreich gelöscht!");
|
||||
}
|
||||
}
|
||||
else
|
||||
{
|
||||
$err = error("Ungültiger Lieferant!");
|
||||
}
|
||||
}
|
||||
elseif($_GET["formsent"] == 1)
|
||||
{
|
||||
$err = saveKontakt($dbconn);
|
||||
if(!$err)
|
||||
doneNreturn("Erfolgreich erledigt!");
|
||||
}
|
||||
else
|
||||
{
|
||||
dispKontaktForm($dbconn,$smarty,2);
|
||||
}
|
||||
}
|
||||
elseif($_GET["do"] == "notiz")
|
||||
{
|
||||
if($_GET["del"] == 1)
|
||||
{
|
||||
$notizid=mysql_escape_string($_GET["notizid"]);
|
||||
$qry=mysqli_query($dbconn,"SELECT partner_id FROM notiz
|
||||
JOIN partner ON partner.id = notiz.partner_id
|
||||
WHERE notiz.id = '$notizid' AND partner.typ_id = 2") or $err=error("Fehler beim abrufen der Informationen für die LOG:<br />".mysqli_error($dbconn));
|
||||
$res=mysqli_fetch_array($qry);
|
||||
$kdnr = $res[0];
|
||||
if($kdnr)
|
||||
{
|
||||
$qry=mysqli_query($dbconn,"DELETE FROM notiz WHERE id = '$notizid'") or $err=error("Fehler beim löschen der Notiz:<br />".mysqli_error($dbconn));
|
||||
if(!$err)
|
||||
{
|
||||
$err = saveLog($dbconn,"DELETE FROM notiz WHERE id = $notizid [von Kunde $kdnr]","","löschen");
|
||||
if(!$err)
|
||||
doneNreturn("Erfolgreich gelöscht!");
|
||||
}
|
||||
}
|
||||
else
|
||||
{
|
||||
$err = error("Ungültiger Lieferant!");
|
||||
}
|
||||
}
|
||||
elseif($_GET["formsent"] == 1)
|
||||
{
|
||||
$err = saveNotiz($dbconn);
|
||||
if(!$err)
|
||||
doneNreturn("Erfolgreich erledigt!");
|
||||
}
|
||||
else
|
||||
{
|
||||
dispNotizForm($dbconn,$smarty,2);
|
||||
}
|
||||
}
|
||||
elseif($_GET["do"] == "konto")
|
||||
{
|
||||
if($_GET["del"] == 1)
|
||||
{
|
||||
$kontoid = mysql_escape_string($_GET["kontoid"]);
|
||||
$qry = mysqli_query($dbconn,"SELECT konto.partner_id FROM konto
|
||||
JOIN partner ON partner.id = konto.partner_id
|
||||
WHERE konto.id = '$kontoid' AND partner.typ_id = 2") or $err=error("Fehler beim abrufen der Informationen für die LOG:<br />".mysqli_error($dbconn));
|
||||
$res = mysqli_fetch_array($qry);
|
||||
$kdnr = $res[0];
|
||||
if($kdnr)
|
||||
{
|
||||
$qry=mysqli_query($dbconn,"DELETE FROM konto WHERE id = '$kontoid'") or $err=error("Fehler beim löschen des Kontos:<br />".mysqli_error($dbconn));
|
||||
if(!$err)
|
||||
{
|
||||
$err = saveLog($dbconn,"DELETE FROM konto WHERE id = $kontoid [von Kunde $kdnr]","","löschen");
|
||||
if(!$err)
|
||||
doneNreturn("Erfolgreich gelöscht!");
|
||||
}
|
||||
}
|
||||
else
|
||||
{
|
||||
$err = error("Ungültiger Lieferant!");
|
||||
}
|
||||
}
|
||||
elseif($_GET["formsent"] == 1)
|
||||
{
|
||||
$err = saveKonto($dbconn);
|
||||
if(!$err)
|
||||
doneNreturn("Erfolgreich erledigt!");
|
||||
}
|
||||
else
|
||||
{
|
||||
dispKontoForm($dbconn,$smarty,2);
|
||||
}
|
||||
}
|
||||
?>
|
||||
// Beim Löschen einer Adresse verschwinden auch ihre Dokumente (delRechnung)
|
||||
require_once "incs/rechnung.php";
|
||||
|
||||
$err = partnerChangeSeite($dbconn, $smarty, 2);
|
||||
?>
|
||||
|
||||
Reference in New Issue
Block a user