2

当通过 PHP 从 MySQL 数据库创建下载链接时，我在获取下载链接时遇到了一些困难。用于获取文件名的代码如下（GET 值用于测试；该值通常来自另一个网页）：

$_GET[attachid] = '2597'; //Test value for getting filenames
if(isset($_GET[attachid]) && isset($_GET[UID])) 
  { 
   $attachid = $_GET[attachid];
   $uid = $_GET[UID];
   $sql = "SELECT name, type, size, content FROM requisitions.upload WHERE attachId
   ='$attachid'";                                                                                                                                                                                                                                                                                                                  
   $res = mysql_query($sql) or die(mysql_error());
   list($name, $type, $size, $content) = mysql_fetch_array($res);

   header("Content-length: $size");
   header("Content-type: $type");
   header("Content-Disposition: attachment; filename=$name");
   echo $content;
   exit; }
   ?>

接下来是从 MySQL 数据库生成文件名表的代码attachid：

<?php
$sql = "SELECT UID, attachId, name FROM requisitions.upload WHERE attachId = 
'$_GET[attachid]'";
$res6 = mysql_query($sql) or die(mysql_error());
$name = 'name';
$attachid = 'attachId';
$uid = 'UID';
while($row = mysql_fetch_array($res6, MYSQL_ASSOC))
 {
 ?>
  <tr>
<td>
    <?php echo $row['attachId']; ?>
    </td>  

   <td> 
  <?php echo "<a href=quotes.php?attachid={$row['attachId']}&uid={$row['UID']}>
  {$row['name']}</a></td>";
 } </tr></table>

上面生成了一个带有正确attachid和文件名的表（在这种情况下是三个），并且每个文件名都显示为带有attachid和uid附加的链接，但是当我单击链接时，什么也没有发生。我只是返回quotes.php没有下载。知道我可能做错了什么吗？就像没有读取标题一样。我在 IIS 7 上运行它，如果这有什么不同的话。

4

1 回答 1

2

$_GET是具有命名键的关联数组。因此，您需要在访问其成员时将您的键名放在引号中。

$_GET['attachid'] = '2597'; //Test value for getting filenames
if(isset($_GET['attachid']) && isset($_GET['uid'])) 
  { 
   $attachid = $_GET['attachid'];
   $uid = $_GET['uid'];
   $sql = "SELECT name, type, size, content FROM requisitions.upload WHERE attachId
   ='".$attachid."'";                                                                                                                                                                                                                                                                                                                  
   $res = mysql_query($sql) or die(mysql_error());
   list($name, $type, $size, $content) = mysql_fetch_array($res);

   header("Content-length: ".$size);
   header("Content-type: ".$type);
   header("Content-Disposition: attachment; filename=".$name);
   echo $content;
   exit; }
   ?>

请记住，您的代码目前完全容易受到 SQL 注入攻击，并且 mysql_* 已被弃用。强烈建议改用 PDO/prepared 语句。至少$_GET在数据库中使用它们之前转义你的变量。

编辑：您还需要将变量连接到标题中，然后才将变量名称添加为字符串的一部分。请参阅上面的代码块。

于 2013-06-24T20:08:44.387 回答