name des file bei download aus mysql

[speedone]

Ich habe folgende kleine Frage.

Ich habe ein Uploadscript gemacht, dass Dateien im Binär Format in einer Mysql speichert.

Ich habe eine spalte mit Longblob für die Binärdaten und eine für den Dateinnamen.

Bis jetzt downloade ich so das file und das klappt auch:
Allerdings heißt so jeder Download: download.*
Ich möchte aber, dass er den namen aus der spalte der Tabelle nimmt und dann unter diesem namen herunterläd.

Dateiname: download.php

<?php
 if (isset($_REQUEST['id'])){
  $id=$_REQUEST['id'];
  $db=mysql_connect("localhost","root","")
    or die ("Keine Verbindung zum Datenbankserver: ".mysql_error($db));
  mysql_query("USE hadabank")
    or die ("Keine Verbindung zum Datenbankserver: ".mysql_error($db));
  $anfrage="SELECT datei FROM downloadarchiv_data WHERE id='".$id."'";
  $ergebnis=mysql_query($anfrage)
    or die ("Datenbankerror: ".mysql_error($db));
  if ($ergebnis) {
   $zeile=mysql_fetch_row($ergebnis);
   $data=$zeile[0];
   header("Content-Type:audio/mpeg");
   print ($data);
  }
  mysql_close($db);
 }
?>

Dateiname: archiv.php

<?php

 $db=mysql_connect("localhost","root","");
 $anfrage="USE hadabank";
 mysql_query($anfrage);

 $anfrage="SELECT * FROM downloadarchiv_data";
 $ergebnis=mysql_query($anfrage);
 if ($ergebnis) {
  $anz=mysql_num_rows($ergebnis);
  print ("<table border='1'>");
  print ("<th>Songname</th><th>Beschreibung</th>");
  print ("<th>Dateigröße<br>(kByte)</th>");
  for ($a=0; $a<$anz;$a++) {
   print ("<tr>");
   $zeile=mysql_fetch_row($ergebnis);
   print ("<td>");
   print ("<a href='download.php?id=".$zeile[0]."'>".$zeile[1]."</a></td>");
   print ("<td>".$zeile[2]."</td>");
   print ("<td>".round(($zeile[3]/1024),2)."</td></tr>");
  }
 print ("</table>");
 }
 else {
  print ("Zur Zeit leider keine Dateien zum Download");
 }
 mysql_close($db);
?>

 

[Mordor]

Mal ne andere Frage, weil es mir gerade auffällt:
Bist du dir sicher, dass du

$_REQUEST[id]

einfach so übergeben willst, ohne zu testen? Das schreit nach ner SQL_injection!

 

[speedone]

das werde ich noch ändern in der download.php
danke für den Tipp

 

[Roger Wilco]

http://de2.php.net/manual/en/function.header.php#74884

 

[speedone]

genau das
Danke
Man braucht nur die richtigen Suchbegriffe...

 

[elias5000]

PHP: header - Manual
Schau bei Beispiel#1

Edit: Mist, zu spät...

 

[speedone]

So klappts!
Werde nochmal zusätzlich die Id überprüfen lassen...
Danke fürr die schnellen Antworten

<?php
 if (isset($_REQUEST['id'])){
  $id=$_REQUEST['id'];
  $db=mysql_connect("localhost","root","")
    or die ("Keine Verbindung zum Datenbankserver: ".mysql_error($db));
  mysql_query("USE hadabank")
    or die ("Keine Verbindung zum Datenbankserver: ".mysql_error($db));
  $anfrage="SELECT datei, dateiname FROM downloadarchiv_data WHERE id='".$id."'";
  $ergebnis=mysql_query($anfrage)
    or die ("Datenbankerror: ".mysql_error($db));
  if ($ergebnis) {
   $zeile=mysql_fetch_row($ergebnis);
   $data=$zeile[0];
   $filename=$zeile[1];
   header("Content-Type:audio/mpeg");
   header("Content-Disposition: attachment; filename=$filename");
   print ($data);
  }
  mysql_close($db);
 }
?>

 

[elias5000]

Du willst dir unbedingt sprintf() ansehen...
Was, wenn jemand als id das hier reinreicht?:

1'; DELETE FROM downloadarchiv_data; --

Das ist, was Mordor meinte.

 

[Roger Wilco]

Du willst dir unbedingt sprintf() ansehen...

Oder einen Type-Cast auf int