初めてのPHP

8.9

 フォームデータの安全な取得

171

8.9

 フォームデータの安全な取得

INSERT

、

UPDATE

、

DELETE

命令文と同じように

SELECT

命令文でもプレースホルダを使えます。

query()

ではなく、

prepare()

と

execute()

を使いますが、

prepare()

に

SELECT

命令文を指定します。

しかし、

SELECT

、

UPDATE

、

DELETE

命令文の

WHERE

句で、サブミットされたフォームデータやその

他の外部入力を使うとき、SQL のワイルドカードを適切にエスケープしていることの確認に格別

に注意を払わなければいけません。ユーザが探している料理名を入力できる

dish_search

というテ

キスト要素のある検索フォームを考えてみましょう。例 8-45 の

execute()

の呼び出しは、プレース

ホルダを使ってサブミットされた値の中の単一引用符で混乱しないようにしています。

例

8-45

 

SELECT

命令文でのプレースホルダの使用

$stmt = $db->prepare('SELECT dish_name, price FROM dishes

WHERE dish_name LIKE ?');

$stmt->execute(array($_POST['dish_search']));

while ($row = $stmt->fetch()) {

// ... $row

に何らかの処理を行う

...

}

dish_search

が

Fried Bean Curd

であれ

General Tso's ...