MySQLステートメント内にPHP変数を含める方法

MySQLステートメント内にPHP変数を追加するルールは、単純明快です。

1. SQLデータリテラルを表す変数 、（または、簡単に言うと、SQL文字列または数値）は、プリペアドステートメントを介して追加する必要があります。例外はありません。
2. SQLキーワード、テーブル名、フィールド名、演算子など、その他のクエリ部分は、ホワイトリストでフィルタリングする必要があります。 。

したがって、この例にはデータリテラルのみが含まれているため、すべての変数はプレースホルダー（パラメーターとも呼ばれます）を介して追加する必要があります。そのためには：

• SQLステートメントで、すべての変数をプレースホルダーに置き換えます。
• 準備 結果のクエリ
• バインド プレースホルダーへの変数
• 実行 クエリ

そして、これがすべての人気のあるPHPデータベースドライバーでそれを行う方法です：

mysqlextを使用したデータリテラルの追加

そのようなドライバーは存在しません 。

mysqliを使用したデータリテラルの追加

$type = 'testing';
$reporter = "John O'Hara";
$query = "INSERT INTO contents (type, reporter, description) 
             VALUES(?, ?, 'whatever')";
$stmt = $mysqli->prepare($query);
$stmt->bind_param("ss", $type, $reporter);
$stmt->execute();

コードは少し複雑ですが、これらすべての演算子の詳細な説明は、私の記事実行方法にあります。 Mysqliを使用したINSERTクエリ 、およびプロセスを劇的に容易にするソリューション。

SELECTクエリの場合、get_result()への呼び出しを追加するだけで済みます。 おなじみのmysqli_resultを取得するメソッド 通常の方法でデータを取得できます：

$reporter = "John O'Hara";
$stmt = $mysqli->prepare("SELECT * FROM users WHERE name=?");
$stmt->bind_param("s", $reporter);
$stmt->execute();
$result = $stmt->get_result();
$row = $result->fetch_assoc(); // or while (...)

PDOを使用したデータリテラルの追加

$type = 'testing';
$reporter = "John O'Hara";
$query = "INSERT INTO contents (type, reporter, description) 
             VALUES(?, ?, 'whatever')";
$stmt = $pdo->prepare($query);
$stmt->execute([$type, $reporter]);

PDOでは、バインド部分と実行部分を組み合わせることができるので、とても便利です。 PDOは、非常に便利な名前付きプレースホルダーもサポートしています。

キーワードまたは識別子の追加

キーワードや識別子（データベース、テーブル、フィールド名）など、クエリの別の部分を表す変数を追加する必要がある場合があります。まれなケースですが、準備しておくことをお勧めします。

この場合、変数は値のリストに対して明示的にチェックする必要があります スクリプトに記述されています。これについては、他の記事ユーザーの選択に基づいてORDERBY句にフィールド名を追加する> ：

$orderby = $_GET['orderby'] ?: "name"; // set the default value
$allowed = ["name","price","qty"]; // the white list of allowed field names
$key = array_search($orderby, $allowed, true); // see if we have such a name
if ($key === false) { 
    throw new InvalidArgumentException("Invalid field name"); 
}

$direction = $_GET['direction'] ?: "ASC";
$allowed = ["ASC","DESC"];
$key = array_search($direction, $allowed, true);
if ($key === false) { 
    throw new InvalidArgumentException("Invalid ORDER BY direction"); 
}

$query = "SELECT * FROM `table` ORDER BY `$orderby` $direction";