1

Друзья, В таблице есть колонка name. В таблице есть запись, к примеру "Иванов Роман Капранович"

Задача создать такой запрос, который смог бы вывести данную строку "Иванов Роман Капранович" если искомая фраза, к примеру всего 4 символа - "иван". В данный момент я все тестирую с запросом в таком формате:

SELECT * FROM users WHERE MATCH (name) AGAINST ('".$_GET['user']."' IN BOOLEAN MODE)

Но как показала практика этот запрос не находит того что мне нужно. Он работает только в том случае, если искомая фраза полностью написана, без ошибок и целиком (слава богу что не реагирует на регистр). Но моя задача сделать поиск с "полуслова"

1
  • 1
    SELECT * FROM users WHERE LOWER(name) like '%иван%' ?
    – nobody
    15 окт 2016 в 11:46

2 ответа 2

1

Разобрался. Вот будет правильный формат запроса для поиска любого вхождения строки:

SELECT * FROM users WHERE MATCH (name) AGAINST ('*".$_GET['user']."*' IN BOOLEAN MODE)
2
  • curl "http://somewhere/index.php?user='); DROP TABLE users; --" - и сарзу пример SQL-инъекции
    – etki
    15 окт 2016 в 12:12
  • ребята вставлял чужой код. понятно что все данные обрабатываются я заострял внимание не на это, чисто на поиск) никто так не пишет:)
    – WhoIsDT
    15 окт 2016 в 19:32
1

'".$_GET['user']."' О боже мой, SQL Injection в чистом виде!

Никогда не подставляете необработанные данные из реквеста в БД!!!

Целые данные обрабатываются (int)$_GET['id'], деситичные (float)$_GET['price'], строки, в идеале mysqli_real_escape_string, или на худой конец addslashes addslashes($_GET['string']) и обязательно вставка должна быть в одинарных кавычках. Чтобы заэкранировать кавычку в запросе, нужно поставить перед ней бэкслэш \.

'SELECT * FROM `users` WHERE MATCH (`name`) AGAINST (\'*'.addslashes($_GET['user']).'*\' IN BOOLEAN MODE)';

Но вы используете не оптимальный запрос. Это делается проще и быстрее через LIKE, при условии, что у вас ваша таблица или поле user создавалось с атрибутом CHARACTER SET utf8 COLLATE utf8_general_ci, то есть регистронезависимый юникод.

'SELECT * FROM `users` WHERE `name` LIKE \'%'.addslashes($_GET['user']).'%\'';

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.