初めてのPHP

8.10

 完全なデータ検索フォーム

173

SQL ワイルドカードのエスケープは引用符で括った後に行う必要があるので、この状況ではプ

レースホルダは使えません。引用符で括る際、単一引用符の前にバックスラッシュを付けますが、

バックスラッシュの前にも付けます。

strtr()

で文字列を先に処理すると、

%chicken%

などのサブ

ミットされた値は

\%chicken\%

となります。そして、引用符で括る（

quote()

であろうとプレースホ

ルダ処理であろうとも）と

\%chicken\%

が

'\\%chicken\\%'

となります。これをデータベースが解釈

すると、リテラルのバックスラッシュの次に「任意の文字と一致する」ワイルドカード、

chicken

、

別のリテラルのバックスラッシュ、さらに「任意の文字と一致する」ワイルドカードが続くという

意味になります。しかし、

quote()

を最初に実行すると、

%chicken%

は

'%chicken%'

となります。そ

して、

strtr()

で

'\%chicken\%'

となります。これをデータベースが解釈すると、リテラルのパー

セント記号の次に

chicken

、そして別のパーセント記号が続くことになり、これはユーザ入力と同

じです。

ワイルドカード文字を引用符で括らなければ、

UPDATE

や

DELETE

命令文の

WHERE

句にさらに劇的

な影響を与えます。例 8-51は、プレースホルダを間違って使い、ユーザ入力値でどの料理の値段

を 1 ドルに設定するかを制御できるクエリを示します。

例

8-51 ...