0
$query = !empty($_GET['box']) ?
"SELECT*FROM products WHERE categoryID IN (" . implode(',', $_GET['box']) . ")"
:
"SELECT*FROM products";

$result = $pdo->query($query);
$products = $result->fetchAll();

Всем привет! Есть три чекбокса, name которых передается в $_GET['box']. Хотела сделать параметризацию categoryID (categoryID=:categoryID) и передать методу execute() индексы для дальнейшего вывода запрашиваемых данных экран. У меня получилось это сделать в нижеприведенном скрипте, но с огромными костылями.

$arr = [];
$arr_products = [];
$products = [];

if(!empty($_GET['box'])) {
$arr = $_GET['box'];
}
else {
$products = [];
$result = $pdo->query("SELECT * FROM products");
$products = $result->fetchAll();
}

foreach ($arr as $key) {
$query= "SELECT * FROM products WHERE categoryID =:categoryID";
$result = $pdo->prepare($query);
$result -> execute(['categoryID' => $key]);
$arr_products = $products;
$products = array_merge($arr_products, $result->fetchAll());
}

2 ответа 2

0

не именуйте параметры. В целом всегда надо следовать двум вариантам: либо вы передаете значения как параметры, либо вы проверяете их значения по списку или еще как-то их валидируете. Если у вас тут числовые идентификаторы, то потенциально вы можете удостовериться, что там именно числовые значения и подставить их в запрос. Либо же передать их не именованными, условно говоря:

 $box = $_GET['box'] ?? [];
 $sql = "SELECT id, title FROM products";

 if($box) {
    $cats = implode(',', array_map('intval', $box));
    $sql .= " WHERE category_id IN ($cats)";
 }
 $st = $pdo->query($sql);
 if($st){
      $result = $st->fetchAll(PDO::FETCH_ASSOC);
 }

либо

if($box){
    $cats = array_map('intval', $box);
    $q = implode(',', array_fill(0, count($box)-1, '?');
    $sql .= "WHERE category_id IN ($q)";        
}
$st = $pdo->prepare($sql)

и т.д.

3
  • Гаденький ответ. Человек придет из гугла по запросу "параметризованный запрос" и увидит гениальные рекомендации "не именуйте параметры. да и вообще не надо параметры использовать". Commented 17 мая 2020 в 6:10
  • @Ипатьев не тупи. во второй половине ответа написано ровно то же самое, что в твоем ответе, с единственной разницей, что у меня array_fill а у тебя str_repeat.
    – teran
    Commented 17 мая 2020 в 8:43
  • @Ипатьев да и в целом, нигде не сказано не использовать параметры. сказано что использовать следует неименованные параметры. Опять же, то же самое что ты пишешь в своем ответе. не надо читать ответы по диагонали..
    – teran
    Commented 17 мая 2020 в 8:45
0

Параметризовать запрос IN действительно получается грязновато, но в целом несложно:

  • надо создать строку с плейсходерами вида ?,?,? по числу элементов в массиве
  • а сам массив передать в execute

В общем виде код выглядит так

$in  = str_repeat('?,', count($in_array) - 1) . '?';
$sql = "SELECT * FROM my_table WHERE my_value IN ($in)";
$stm = $db->prepare($sql);
$stm->execute($in_array);
$data = $stm->fetchAll();

Для это конкретной задачи можно также оптимизировать алгоритм

$arr = [];
$sql = "SELECT * FROM products";

if(!empty($_GET['box'])) {
    $arr = $_GET['box'];
    $in  = str_repeat('?,', count($arr) - 1) . '?';
    $sql .= " WHERE categoryID in ($in)"
}
$stmt = $pdo->prepare($query);
$stmt -> execute($arr);
$products = $stmt->fetchAll();
1
  • смысл дублировать ответ? или от того что Ипатьев написал 100% идентичный код, то можно уже не писать коммент "гаденький"? :D
    – teran
    Commented 17 мая 2020 в 8:49

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.