0

Пишу функцию поиска значения в таблице, но выскакивает ошибка:

Fatal error: Uncaught exception 'PDOException' with message 'SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'password = 'HERES MY PASSWORD' ' at line 1' in W:\domains\blog\components\Database.php:47 Stack trace: #0 W:\domains\blog\components\Database.php(47): PDOStatement->execute() #1 W:\domains\blog\models\Auth.php(28): Database->find('users', Array) #2 W:\domains\blog\controllers\AuthController.php(48): Auth::login(Array) #3 [internal function]: AuthController->actionLogin() #4 W:\domains\blog\components\Router.php(42): call_user_func_array(Array, Array) #5 W:\domains\blog\index.php(13): Router->run() #6 {main} thrown in W:\domains\blog\components\Database.php on line 47

class Database extends PDO
{
    public function __construct($DB_HOST, $DB_NAME, $DB_USER, $DB_PASS) 
    {
        parent::__construct("mysql:host=$DB_HOST;dbname=$DB_NAME", $DB_USER, $DB_PASS);
        parent::setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    }   

    /**
     * @return boolean
     */
    public function find($table, $data, $where = NULL)
    {
        if ($where == NULL) {
            foreach ($data as $key => $value) {
                $where .= "$key = :$key,";
            }

            $where = rtrim($where, ',');
        }

        $sql = $this->prepare("SELECT * FROM $table WHERE $where LIMIT 1");

        foreach ($data as $key => $value) {
            $sql->bindValue(":$key", $value);
        }

        $sql->execute();

        if ($sql->fetch())
            return true;

        return false;
    }
}

В итоге получается такой запрос:

SELECT * FROM users WHERE `username` = :username,`password` = :password LIMIT 1

Ошибка вылезает только тогда, когда в параметр $data поступает count($data) > 1 значений. Исходя из этого, можно подумать, что проблема в самом начале функции - тело цикла foreach(), но не понимаю, что не так.

14
  • 4
    Так может вместо запятой правильнее ставить AND в условии? Это был риторический вопрос.
    – Visman
    31 июл 2017 в 13:50
  • @Visman почему же AND? Обычно запятую всегда писал. А если случай, когда поиск не по двум значениям (username, password), а по нескольким? после каждого значения AND писать?
    – phen0menon
    31 июл 2017 в 13:58
  • Если вы ищите запись по нескольким полям, так чтобы каждое поле записи удовлетворяло определенному условию тогда используем логическое И между условиями. Если ищите запись с хотя бы одним совпадением по всем условиям - используете логическое ИЛИ. В более сложных случаях придется использовать комбинацию логических операторов (операторов сравнения, круглых скобок, функций).
    – Visman
    31 июл 2017 в 14:19
  • 3
    @phen0men поставьте вместо запятой - AND и запрос сработает. Никогда такого не было, чтобы в MySQL вместо AND можно быть запятую использовать 31 июл 2017 в 14:46
  • 1
    Я просто покажу пример инъекции: phpdelusions.net/pdo/sql_injection_example 1 авг 2017 в 12:50

1 ответ 1

0

В вашем случае вместо запятой в WHERE нужно поставить оператор AND

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.