使用AJAX和PHP对MSSQL用户名入住(Username Availability Check

我有一个数据库已经满客户。 我们正试图让他们建立在线访问。 他们必须提供自己的会员ID建立自己的网上账户。 我建立了一个测试表单，允许输入MEMBERID，应检查看看，如果我们在数据库中找到他们。 我已经把我的头发，试图得到这个工作。 我也取得了CRUD，所以我知道我的mssql连接工作。

什么是错的代码？

形成

<div class="container">
<div>Member ID: <input type="text" maxlength="10" name="uname" id="uname" /><span id="status"></span></div>
<div>Pass: <input type="password" maxlength="10" name="pwd" id="pwd" /></div>

</div>
<script type="text/javascript">
document.getElementById("uname").onblur = function() {
var xmlhttp;
var uname=document.getElementById("uname");
if (uname.value != "")
    {
        if (window.XMLHttpRequest){
              xmlhttp=new XMLHttpRequest();
            } else {
              xmlhttp=new ActiveXObject("Microsoft.XMLHTTP");
            }
        xmlhttp.onreadystatechange=function() {
                if (xmlhttp.readyState==4 && xmlhttp.status==200) {
                document.getElementById("status").innerHTML=xmlhttp.responseText;
                }
        };
    xmlhttp.open("GET","uname_availability.php?uname="+encodeURIComponent(uname.value),true);
    xmlhttp.send();
    }
};
</script>

这里是uname_availability.php

<?php
$uname=$_REQUEST['uname'];

$server = "serveraddress";
$user = "username";
$pwd = "password";
$db = "dbname";

$conn = sqlsrv_connect($server, array("UID"=>$user, "PWD"=>$pwd, "Database"=>$db));

if($conn === false){
    die(print_r(sqlsrv_errors()));
}

$sql = "SELECT * FROM tblMembership WHERE MemberID = ".$uname."";
$stmt3 = sqlsrv_query($conn, $sql);
$row_count = sqlsrv_num_rows($stmt3);
if ($row_count === false)
{
print "<span style=\"color:red;\">We Can Not Find You :(</span>";
}
else
{
print "<span style=\"color:green;\">We Found You :)  </span>";
}
?>

Answer 1:

您的查询失败，因为你们没有引用您的用户名$参数，从而导致不正确的和无效的SQL和SQL注入攻击漏洞：

$sql = "SELECT * FROM tblMembership WHERE MemberID = '".$uname."'";
                                                     ^--        ^--

不带引号，你正在做的WHERE MemberID = fred ，我很怀疑你有fred在您的会员表字段。

因为你的代码盲目假设查询的工作是正确的，你永远不会看到语法错误警告，SQL Server 将一直提供。

Answer 2:

你不需要引用在SQL语句中的参数的值？

$sql = "SELECT * FROM tblMembership WHERE MemberID = ".$uname."";

那么将成为

$sql = "SELECT * FROM tblMembership WHERE MemberID = '".$uname."'";

Answer 3:

我结束了此得到它...感谢所有的输入...我真的很感激这一切！

$sql = "SELECT MemberID FROM tblMembership WHERE MemberID = '".$memid."'";
$stmt = sqlsrv_query($conn, $sql);
$row = sqlsrv_fetch($stmt);
if (empty($row))
{
print "<span style=\"color:red;\">We Can Not Find You >:-(</span>";
}
else
{
print "<span style=\"color:green;\">We Found You :-)  </span>";
}

Answer 4:

你为什么不明确地使用$_GET ，

if(isset($_GET['uname']))
{
  $uname=$_GET['uname'];
}

然后查询一样，

$sql = "SELECT * FROM tblMembership WHERE MemberID ='$uname'";

文章来源: Username Availability Check using AJAX and PHP against MSSQL