0
$query = 'SELECT COUNT(*) FROM task WHERE user_task="'.$user.'"';
        foreach ($parameters as $key=>$val) {
            if (!$key || !$key%2) $query .= ' AND '.$val.'="';
            else $query .= $val.'"';
        }
        echo $query;
//SELECT COUNT(*) FROM task WHERE user_task="2" AND status_task="0"status_task"1"

Почему такой результат???? Должен же быть:

SELECT COUNT(*) FROM task WHERE user_task="2" AND status_task="0" AND status_task="1"
6
  • причем тут javascript?
    – Grundy
    4 авг 2017 в 10:25
  • javascript машинально
    – EduardRST
    4 авг 2017 в 10:28
  • 1
    А вот это зачем if (!$key || !$key%2)? У вас ВСЕ поля добавляемые в цикле должны иметь префиксом AND
    – rjhdby
    4 авг 2017 в 10:33
  • Не говоря уж о том, что собирать SQL таким образом - это самый надёжный способ выстрелить себе в ногу
    – rjhdby
    4 авг 2017 в 10:34
  • судя по тому, что добавилось в конец без пробела строка, то выполнился код $query .= $val.'"'; следовательно if (!$key || !$key%2) не выполнилось
    – Skywave
    4 авг 2017 в 10:35

1 ответ 1

1

Ну разберите свой код по порядку и все станет на место.

Первая итерация: !0 || !0%2 => !(false) || !(false) => true || true => true

Вторая итерация: !1 || ... => !(true) || ... => false || ... => false

Третья итерация: !2 || ... => !(true) || ... => false || ... => false

Как видите, результат всегда отрицательный и не зависит от того, что у Вас идет после первой проверки. В итоге будет только один AND в самом начале и дальше все будет сплошной строкой. Поэтому в случае ошибок на простых блоках проверяйте свой алгоритм на правильность, если не в уме, то хотя бы на бумаге расписывая его правильность.

И да, это небезопасный способ составления запросов, так как содержит уязвимисти и приложение можно легко взломать хакеру. Используйте подготовленные запросы для PDO или подготовленные запросы для mysqli.

3
  • Спасибо, || подвело. Не подумал об этом. А документацию сейчас почитаю
    – EduardRST
    4 авг 2017 в 10:55
  • Почитал. Так это я ими и пользуюсь. Сейчас просто формировал строку для $pdo->query($query); $pdo->prepare($query) нет смысла писать, так как все данные генерирует php
    – EduardRST
    4 авг 2017 в 10:59
  • @vKs ну сейчас я вижу напрямую вшитые параметры, как например $query = 'SELECT COUNT(*) FROM task WHERE user_task="'.$user.'"'. Хотя параметры должны быть добавлены через связывание: $query = 'SELECT COUNT(*) FROM task WHERE user_task=:user' и потом дальше в коде $stmt->bindParam(':user', $user);. Ладно, просто я привык, что если нет смысла, то все равно делаю как полагается на всякий случай - мало ли что потом поменяется.
    – Alex Krass
    4 авг 2017 в 11:06

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.