- Во-первых, sprintf для этого вполне подходит.
- Во-вторых, эта функция здесь лишняя.
- В-третьих, перед тем как генерировать строку, надо сначала отфильтровать массив.
- В-четвертых, у строки неправильный формат.
- В-пятых, такую строку в принципе генерировать нельзя.
Далi буде...
Пункт первый. Многие не понимают предназначения функции sprintf()
. Эта функция нужна для того, чтобы один шаблон строки можно было хранить и редактировать отдельно от кода.
Например, вот мы подготовили шаблон вида
$text = "Здравствуйте %s! Я Вам должен %d миллионов. Так вот, я их не отдам!";
И после этого можно рассылать письма кредиторам в том же самом цикле:
foreach($arr as $key = >$val)
{
$text .= sprintf($text, $key, $val);
}
Пункт второй. Однако по какой-то неизвестной мне причине, эту функцию часто используют вместо строки в двойных кавычках. Что не дает никакого положительного эффекта, а вот читабельность снижает очень сильно. Сравним:
$text .= "`$key` = '$val', ";
$text .= sprintf("`%s` = '%s', ", $key, $val);
во втором случае код раздувается в два раза за счет абсолютно ненужных символов, при этом теряя а читабельности: если в первом варианте мы сразу видим какая переменная идет в какое место строки, то во втором приходится мысленно сопоставлять переменную с плейсхолдером.
Пункт третий.
Если массив берется из пользовательского ввода, то его надо сначала отфильтровать, оставив в нем только те элементы, ключи которых были заранее прописаны в коде. (Если массив формируется в скрипте, то этот пункт выполнять не надо).
Пункт четвертый.
Формат строки никуда не годится. Ни имя поля, ни значение не отформатированы. Это сразу двойка с минусом и SQL инъекция.
Пункт пятый.
В 2015 году пора бы уже научиться подставлять в запрос данные через плейсхолдеры. С одной стороны, у нас конечно имена полей все равно идут в запрос динамически, но тут уж ничего не поделаешь. Но вот значения, при некотором усилии, мы можем передать через плейсхолдеры. чем и следовало бы воспользоваться:
$set = '';
$comma = '';
foreach ($data as $key => $value)
{
$set .= "$comma `".str_replace("`","``",$key)."` = ?";
$comma = ",";
}
таким образом мы получим строку, в которой имена полей отформатированы на предмет предотвращения инъекций, а для значения пишется плейсхолдер. Который будет заменен на актуальные данные при исполнении запроса.
Бонус:
Готовая библиотека, моего авторства, которая выполняет нужный запрос единственно правильным способом:
$data = array(
'test1' => 'data1',
'test2' => 'data2'
)
$db->query("INSERT INTO table SET ?u", $data);
mysqli
илиPDO
.$my_string=print_r($my_array,true);