PHPを学習し始めてまだ間がない者です。

>うまく削除できません。

削除ボタンを押した場合、hiddenでの名前が"del"になっているためです。ので"del"を"id"にすればokでしょう。ただ<form>が閉じていないので正しいidが戻っていません。</form>で閉じることで正しいidは戻りますが$_POST["title"]が設定されていないと

if (!isset($_POST["title"])){

の部分が実行されて終了していました。

>$query = "insert into site (title,category,launguage,link_ok,url,server_name,uptime)";

>この部分の項目が増減してもいちいち書き直さないでも良いようにしたいと言うことです。

php側だけではなくMySQL側でも直さなくてはならないのでその都度(頻繁に変更があることの方が問題)、書き換えでもいいと思います。

あるいは新たに追加がある場合はその部分だけのupdate文で処理するようにするなど。

エラー処理はやっかいです。ユーザーには詳細な内容を知らせない方がいいですし、自分には詳細な内容が必要です。ある程度の記述が必要ですのでset_error_handler()が便利です。後はエラーが発生したらtrigger_error()を呼ぶだけでset_error_handler()で指定した関数へ飛びます。

phpはhtml文の中に混在して書き込めるのが特徴の一つです。単純な場合はそれでいいのですが、複雑になるとこれが逆に足かせになってきます。今回は更にSQL文もあるので三つのものが混在しています。

提案としてはこれらはなるべく別々にするようにし、それらをつなぐものとして配列を使います。

$_POST,$_GET,$_COOKIE,$_SERVERなどのPHPの外部から来る変数は信用できません。

ので使用には常に注意が必要です。常に言えることは直接使ってはダメということです。

SQLインジェクションについて記憶に新しいものとしてはトレンドマイクロがあります。

http://jp.trendmicro.com/jp/about/notice/0312/index.html

考え方として攻撃を無害化するというのがmysql_real_escape_stringに代表されるものでしょう。

私の場合は攻撃を感知するということに重点を置いています。どういう攻撃があるかがわからないと感知できないのが難点ですが。

考え方が違えば、やり方も変わってきますし、どれが正解ということはないと思います。ようは攻撃を防げればいいのですから。

prepared文はMySQL 4.1から追加されたようです

http://lists.mysql.com/mysql-ja/77

これを使えば、あらかじめquery文を評価してしまい、後でexecute文で引数で置き換えて実行するというものです。

ので外部から与えられるものは単なるデータになるのでSQLインジェクションにはならないと理解しています(多分)。

プリペアドステートメントに渡すパラメータは、引用符で括る必要は ありません。それはドライバが自動的に行います。 アプリケーションで明示的にプリペアドステートメントを使用するように すれば、SQL インジェクションは決して発生しません (しかし、もし信頼できない入力をもとにクエリの他の部分を構築している のならば、その部分に対するリスクを負うことになります)。

プリペアドステートメントおよびストアドプロシージャ

mysql_xxxでは使えないようなのですがPEAR::DBなら使えます(多少オーバーヘッドは発生するでしょうが)。

php5ではPEAR::DBがうまく動かなかったのでPDOで実装しました。mysqliが改良版拡張サポートということでprepared文が使えるのですが使いかたが面倒そうなので断念しました。

<?php
define('CR', "\n");
define('BR', "<br>");
define('DB_NAME', 'link');
define('USER',    'xxxxxx');
define('PASSWD',  'xxxxxxx');

//date_default_timezone_set('Asia/Tokyo');

function error_handler($errno, $errstr, $file, $line, $context) {
  static $errortype = array (
    E_ERROR              => 'Error',
    E_WARNING            => 'Warning',
    E_PARSE              => 'Parsing Error',
    E_NOTICE             => 'Notice',
    E_CORE_ERROR         => 'Core Error',
    E_CORE_WARNING       => 'Core Warning',
    E_COMPILE_ERROR      => 'Compile Error',
    E_COMPILE_WARNING    => 'Compile Warning',
    E_USER_ERROR         => 'User Error',
    E_USER_WARNING       => 'User Warning',
    E_USER_NOTICE        => 'User Notice',
    E_STRICT             => 'Runtime Notice',
    E_RECOVERABLE_ERROR  => 'Catchable Fatal Error');
  echo $errortype["$errno"].':'.$file.':'.$line.'<br>'.$errstr.'<br>'.'<br>';
  return TRUE;
}

function mysql_prepared($sql, $parms=NULL) {
  $mysql = new PDO('mysql:host=localhost;dbname='.DB_NAME, USER, PASSWD);
    $stmt = $mysql->prepare($sql);
    $stmt->execute($parms);
  return $stmt->fetchAll(PDO::FETCH_ASSOC);
}

function mysql_insert($parms) {
  $sql = "insert into site (title, category, launguage, link_ok, url, server_name, uptime)".
         " values (?, ?, ?, ?, ?, ?, CURRENT_DATE())";
  return mysql_prepared($sql, $parms);
}

function mysql_delete($parms) {
  $sql = "DELETE FROM site WHERE id = ?";
  return mysql_prepared($sql, $parms);
}

function table_tr_html($attr, $tr_ary) {
  $contents = '';
  foreach ($tr_ary as $col)
    $contents .= '<td>'.$col.'</td>';
  return '<tr'.$attr.'>'.$contents.'</tr>';
}

function table_html($table_ary) {
  $contents = table_tr_html(' bgcolor="#88bbff" height="32"', array_shift($table_ary));
  foreach ($table_ary as $id=>$row)
    $contents .= table_tr_html($id%2 ? ' bgcolor="#fafaff"':'', $row);
  return '<table>'.$contents.'</table>';
}

function db_table_html($db_data) {
  $map = array();
  foreach ($db_data as $row)
    $map[] = array(
      $row['id'],
      BR.'<form action="'.$_SERVER['SCRIPT_NAME'].'" method="post">'.
        '<input type="submit" name="op" value="削除">'.
        '<input type="hidden" name="id" value="'.$row['id'].'">'.'</form>',
      $row['title'],
      $row['category'],
      $row['launguage'],
      $row['link_ok'],
      str_replace(array('http://','www.'),array('',''),$row['url']),
      $row['server_name'],
      date('Ymd',strtotime($row['uptime'])));
  return $map;
}

function validate($vars, $request) {
  $parms = array();
  foreach ($request as $name)
    if (isset($vars["$name"]))
      $parms["$name"] = htmlspecialchars($vars["$name"]);
  return $parms;
}

set_error_handler("error_handler");
  $request = array('id','','title','category','launguage','link_ok','url','server_name');
  $parms = validate($_POST, $request);
  if ($parms && isset($_POST['op'])) {
    if ($_POST['op'] === '新規')
      mysql_insert(array_values($parms));
    else if ($_POST['op'] === '削除')
      mysql_delete(array($parms['id']));
  }

  $db_all_data = mysql_prepared("SELECT * FROM site ORDER BY id DESC");
  $db_table = array_merge(array(array_merge($request, array('uptime'))),
    db_table_html($db_all_data),
    array(array('',BR.'<form action="'.$_SERVER['SCRIPT_NAME'].'" method="post">'.
        '<input type="submit" name="op" value="新規">',
        '<input type="text" name="title" value="タイトル">',
        '<input type="text" name="category" value="カテゴリー">',
        '<input type="text" name="launguage" value="言語">',
        '<input type="text" name="link_ok" value="リンク">',
        '<input type="text" name="url" value="url">',
        '<input type="text" name="server_name" value="サーバー">'.'</form>','')));
restore_error_handler();
?>
<html>
<head>
</head>
<body>
<?= table_html($db_table) ?>
</body>
</html>

動作確認はphp5、mysql4.1以上でdefineのUSER,PASSWDを設定してあれば動くとは思います。

error_handler()

set_error_handler("error_handler")としているのでエラーがあればここに飛んできます。そのまま表示していますのでユーザーには別のメッセージを表示して、自分にはメールを飛ばすようにするなどにした方がいいでしょう。

mysql_prepared()

prepared文を使ってquery()します。

mysql_insert($parms)

mysql_prepared()使って挿入します。挿入する内容についてはチェックしていません。prepared文を使っているのでSQLインジェクションの問題やhtmlspecialchars()が施されているので大まかな問題は解決されていると思いますが、あまりにも長すぎるとか不適切な内容などについては調べる必要があるでしょう。

mysql_delete($parms)

mysql_prepared()使って削除します。idについてはチェックしていませんが不適切なidなら削除されないだけなので実害は無いという判断です。

table_tr_html($attr, $tr_ary)

htmlの＜tr＞..＜/tr＞の部分を生成します。

table_html($table_ary)

htmlの＜table＞..＜/table＞の部分を生成します。

db_table_html($db_data)

dbの内容(二次元)をhtmlに変換する前段階として各要素を多少変更します。また削除のボタンを追加しています。

validate($vars, $request)

セキュリティの要としています。この部分をパスするということは処理を続行しても問題無い、あるいは大きな問題は無いと判断したということにしています。今回はhtmlspecialchars()だけしていますが、$requestで受け取るべき名前を列挙しているので、足りなかったり、逆に$requestにないものが$_POSTにあったら処理を止めるなどが可能です。

以下がメインの処理です。

set_error_handler("error_handler");

"error_handler"を設定します。エラーや問題を検知した場合はtrigger_error("メッセージ", E_USER_ERROR)で通知するようにしています。

$request = array('id','','title','category','launguage','link_ok','url','server_name');

$_POSTで受け取る名前を列挙します(テーブルのヘッダーとしても利用しているので途中に空の要素を入れていますが)。

$parms = validate($_POST, $request);

$_POSTの中で$requestで列挙されたものだけhtmlspecialchars()して$parmsに取り出します。

if ($parms && isset($_POST['op'])) {

if ($_POST['op'] === '新規')

mysql_insert(array_values($parms));

else if ($_POST['op'] === '削除')

mysql_delete(array($parms['id']));

}

ボタン用に"op"という名前を追加しています。本来"op"も$requestの中に入れて$parms['op']とすべきですが多少処理が長くなるので$_POSTを直接使っています。単純に新規(追加)、削除をしていますが追加の場合は、重複しないかチェックするなどの処理が必要かもしれません。新規の場合、prepared文の?と$parmsの数が合ってないとエラーになってしまいます。<input>でテキストが空の場合、送られないと思うので、それがvalidate()で処理されず、数が合わなくなってしまいます(既知のバグ)。

$db_all_data = mysql_prepared("SELECT * FROM site ORDER BY id DESC");

データを全て取り込む。

$db_table = array_merge(array(array_merge($request, array('uptime'))),

db_table_html($db_all_data),

array(array('',BR.'<form action="'.$_SERVER['SCRIPT_NAME'].'" method="post">'.

'<input type="submit" name="op" value="新規">',

'<input type="text" name="title" value="タイトル">',

'<input type="text" name="category" value="カテゴリー">',

'<input type="text" name="launguage" value="言語">',

'<input type="text" name="link_ok" value="リンク">',

'<input type="text" name="url" value="url">',

'<input type="text" name="server_name" value="サーバー">'.'</form>','')));

テーブル用にヘッダー用($requestに'uptime'を追加)、dbからのデータ、新規用の<input>をマージして置きます。

最終的にでhtmlに展開されます。

restore_error_handler();

エラーハンドラーを元に戻します。