Changed db_escape function to avoid XSS atacksvia db javascript injection
[fa-stable.git] / includes / db / connect_db.inc
1 <?php
2
3 set_global_connection();
4
5 function set_global_connection()
6 {
7         global $db;
8
9     if (isset($_SESSION["wa_current_user"]) && $_SESSION["wa_current_user"]->company !='')
10         $db = $_SESSION["wa_current_user"]->get_db_connection();
11     else
12         $db = null;
13 }
14
15 $db_duplicate_error_code = 1062;
16
17 //DB wrapper functions to change only once for whole application
18
19 function db_query($sql, $err_msg=null)
20 {
21         global $db, $show_sql;
22
23         //echo "<br>$sql<br>";
24         if ($show_sql)
25         {
26                 echo "<font face=arial size=2 color=000099><b>SQL..</b></font>";
27                 echo "<pre>";
28                 echo $sql;
29                 echo "</pre>\n";
30         }
31
32
33         $result = mysql_query($sql, $db);
34         if ($err_msg != null)
35           if (function_exists('xdebug_call_file'))
36                 check_db_error('<br>At file '.xdebug_call_file().':'.xdebug_call_line().':<br>'.$err_msg, $sql);
37           else
38                 check_db_error($err_msg, $sql);
39
40         return $result;
41 }
42
43 function db_fetch_row ($result)
44 {
45
46         return mysql_fetch_row($result);
47 }
48
49 function db_fetch ($result)
50 {
51
52         return mysql_fetch_array($result);
53 }
54
55 function db_seek (&$result,$record)
56 {
57         mysql_data_seek($result, $record);
58 }
59
60 function db_free_result ($result)
61 {
62         if ($result)
63                 mysql_free_result($result);
64 }
65
66 function db_num_rows (&$result)
67 {
68         return mysql_num_rows($result);
69 }
70
71 function db_num_fields ($result)
72 {
73         return mysql_num_fields($result);
74 }
75
76 function db_escape ($result)
77 {
78         return mysql_escape_string($result);
79 }
80
81 function db_quote($value = "", $nullify = false)
82 {
83         $value = htmlspecialchars($value, ENT_COMPAT, $_SESSION['language']->encoding);
84
85         //reset default if second parameter is skipped
86         $nullify = ($nullify === null) ? (false) : ($nullify);
87         //undo slashes for poorly configured servers
88         $value = (get_magic_quotes_gpc()) ? (stripslashes($value)) : ($value);
89
90         //check for null/unset/empty strings
91         if ((!isset($value)) || (is_null($value)) || ($value === "")) {
92                 $value = ($nullify) ? ("NULL") : ("''");
93         } else {
94                 if (is_string($value)) {
95                 //value is a string and should be quoted; determine best method based on available extensions
96                         if (function_exists('mysql_real_escape_string')) {
97                                 $value = "'" . mysql_real_escape_string($value) . "'";
98                         } else {
99                           $value = "'" . mysql_escape_string($value) . "'";
100                         }
101                 } else if (!is_numeric($value)) {
102                         //value is not a string nor numeric
103                         display_error("ERROR: incorrect data type send to sql query");
104                         echo '<br><br>';
105                         exit();
106                 }
107         }
108         return $value;
109 }
110
111 function db_error_no ()
112 {
113         global $db;
114         return mysql_errno($db);
115 }
116
117 function db_error_msg($conn)
118 {
119         return mysql_error($conn);
120 }
121
122 function db_insert_id()
123 {
124         global $db;
125         return mysql_insert_id($db);
126 }
127
128 function db_num_affected_rows()
129 {
130         global $db;
131         return mysql_affected_rows($db);
132 }
133
134 ?>