PHP　Mysql　について

Question

gwrite

6

2もっと見る

コンピュータウェブ制作

PHP　Mysql　について

初歩的な質問で申し訳ないのですが、
クエリーを発酵する際に、
$sql = "SELECT * FROM users WHERE userid = '". $_POST['userid']. "'";
のように書けば動くということがわかりました。

しかし、『'". $_POST['userid']. "'』の部分の
『"』やら、そのあとの半角スペースや、『.』が必要な理由というか、
なんの作用をもたらしているのかがわかりません。
『'$_POST['userid']'』だったらうまく動作しなかったので、手当たり次第
検索して、見つけたソースをそのまま使用したら上手く動いただけです。

これについて、解説したページ等ありますでしょうか？

回答の条件

1人5回まで

登録：2012/06/08 12:08:06
終了：2012/06/09 10:58:59

No.1

きゃづみぃ1353911982012/06/08 12:14:30

『"』
文字列の指定に必要です。

『.』
文字列の連結をします。

半角スペースは特には関係ないと思います。

SQLを指定していますが、その文字列を変数を交えて記述しているということです。

ただ、このような書き方だとセキュリティ上問題が発生する恐れがあります。
それについては ↓を参照してください。

http://ja.wikipedia.org/wiki/SQL%E3%82%A4%E3%83%B3%E3%82%B8%E3%82%A7%E3%82%AF%E3%82%B7%E3%83%A7%E3%83%B3

なお
"と'の違いですが
"は PHP上での文字列の指定
'は SQL上での文字列の指定となります。

2012/06/08 12:26:33

連結演算子ですか。そういえばあったような気がします。
ありがとうございました。

2012/06/08 22:09:57

No.2

gyoh_k1262012/06/08 12:59:23

.(ドット) は、PHPで文字列を足す演算子です。

$param = "abc" . "def";
この場合、$paramは"abcdef" になります。

仮に、$_POST['userid'] が変数でなく、ユーザーID "abcd"を検索する場合、
SQLは以下のようになります。

$sql = "SELECT * FROM users WHERE userid = 'abcd'";
↓
$sql = "SELECT * FROM users WHERE userid = '" . "abcd" . "'";
↓
$sql = "SELECT * FROM users WHERE userid = '". $_POST['userid']. "'";

なお、実務のプログラミングでこの書き方をすると、
あっという間に読みづらいプログラムになってしまうため、
プレースホルダという機能を使ったほうがよいです。

他3件のコメントを見る

プレースホルダを使った方が色々な点でいいのは間違いないですが、場合によっては、
$sql = "SELECT * FROM users WHERE userid = '{$_POST['userid']}'";
と書くのがシンプルで好きだったりします。
ひょっとしたら質問者さんを混乱させてしまうだけかもしれませんが。

2012/06/08 13:30:35

もし、$_POST{'uesr'} の中身が「1' or '1' = '1」となっていたら、どのような事が起きるか分かりますか？作られる SQL 文は下記のようになります。

SELECT * FROM users WHERE userid = '1' or '1' = '1''

これが SQL インジェクションです。SQL 文をつなげて作るのが分かりやすい事は分かりますが、少なくとも、仕事してそんなコードを書いたらアウトです。

2012/06/08 15:47:45

＊場合によっては＊という注釈を付けたのですが、説明不足でしたね。
ユーザからの入力が直接来るような、$_POSTを突っ込むのは持っての他なのは言うまでもないですので、おっしゃってることは、もっともです。

2012/06/08 18:10:11

プレースホルダ使うようにします。
　が、レンタルサーバでPEARが動かないという壁にもぶち当たっています。
また、『'" . "abcd" . "'』の時点で、よくわからなくなりました。
両端のシングルクォートはわかるのですが、ダブルクォーテーションが何をどう囲っているのか理解できません。

2012/06/08 22:13:13

一般的にプログラミング言語では、文字列をダブルクォーテーション（またはシングルクォーテーション）で囲みます。
たとえば、以下の構文はエラーになります。
$param = あいうえお;
また、以下のように、ダブルクォーテーションとシングルクォーテーションを併用させることもできません。
$param = "あいうえお';
以下の書き方だとOKです。
$param = "あいうえお";

文字列でなく、数値の場合はクォーテーションで囲む必要はありません。
$param = 123;

なお、「123」のような数値としても文字列としても扱えるデータの場合、
ダブルクォートで囲うこともできます。
$param = "123";

どちらにするかは、プログラム内で数値として扱いたいか、
文字列として扱いたいかによって決めるとよいと思います。

レンタルサーバでPEARが動かない件については、
初学者の方だと結構大変かも、ですね。
サーバの種類によっても設定内容が違ったりするので、
有効な解決策をお答えすることはできませんが、
数日かけるつもりでトライしていただければと思います。

2012/06/09 08:32:12

きゃづみぃ 2012/06/09 20:25:24

＞ダブルクォートで囲まれた中にあるシングルクォートは文字として取り扱われるため、
userid という文字列ではなく 'userid' という文字列だと誤認してしまうというのが原因です。

何の原因？

「あの人に答えてほしい」「この質問はあの人が答えられそう」というときに、回答リクエストを送ってみてましょう。

これ以上回答リクエストを送信することはできません。制限について

リクエスト送信済

回答リクエストを送信したユーザーはいません

うぃんど · Accepted Answer · 2012-06-08T13:29:35+09:00

No.3

うぃんど262511492012/06/08 13:29:35

ダブルクォートで囲まれた中にあるシングルクォートは文字として取り扱われるため、
userid という文字列ではなく 'userid' という文字列だと誤認してしまうというのが原因です。

そのため質問文にあるように、複数のパーツに分けて求めたものを結合するという手間をかけています。
その他にも方法はありますが、現在では質問文にあるような書き方が主流です。

（ａ）質問文のように分離する方法
$sql = "SELECT * FROM users WHERE userid = '" . $_POST['userid'] . "'";
変数は変数だけで独立して扱うので、
エディタ上での検索や置換などの編集作業が容易になります。
文字列の結合演算子である . を（人間が）見逃してエラーになるなんてことにもなるので、
. の前後に半角スペースをいれるなどの工夫もしています。

（ｂ）中括弧を使って変数名であることを明示する方法
$sql = "SELECT * FROM users WHERE userid = '${_POST['userid']}'";
１つの変数をあらわす方法が複数（${_POST['userid']}と$_POST['userid']）になり、
再度コードを読み直したり、書き直したりする際にミスをしやすくなるため、
最近ではこの方法を使っている人をあまり見なくなってきました。

（ｃ）シングルクォートを使わない方法（非推奨）
$sql = "SELECT * FROM users WHERE userid = '$_POST[userid]'";
下記ページの「配列ですべきこととしてはならないこと」に詳しいので下記参照
http://php.net/manual/ja/language.types.array.php

他3件のコメントを見る

中括弧のが一番わかりやすいです。

2012/06/08 22:14:03

$mysqli = new mysqli("host", "user", "pass", "db");
$sql = "SELECT * FROM users WHERE userid = '". $_POST['userid']. "'";
$result = mysqli_query($mysqli , $sql) or die("クエリの送信に失敗しました。
SQL:".$sql);
$rows = mysqli_num_rows($result);

と書いて動くところまでは確認できたのですが、いろいろ間違っていそうです。
お手数ですが、上記ソースをプレースホルダを使って、正しくといいますか、一般的な形に書き直していただくことは可能でしょうか？

別途、お礼のポイント送信させていただきます。（こころばかりですが）

2012/06/08 23:43:07

mysqliでprepareを使った例

単体テスト用のhtmlフォーム付きにしておいたので、
"host", "user", "pass", "db"の設定と入力チェック部分を、
そちらの環境に合わせるだけで動くはずです
（テストですから入力チェックの部分をコメントアウトしてもかまいません）
（今回の回答用に新規作成し、動作テストしたものを貼り付けてます）

<html>
<head>
    <meta http-equiv="Content-Type" content="text/html; charset=utf8" />
    <meta http-equiv="content-style-type" content="text/css">
    <title>test</title>
</head>
<body>
    <form action="<?=$_SERVER['PHP_SELF'] ?>" method="post">
            <input type="text" name="userid" size="30"><br />
            <input type="submit" value="送信" />
    </form>
<?php
// 入力値の存在チェック
if (!isset($_POST['userid'])) die('useridが送られてきていません。');
// 入力値の適正チェック（アルファベットで始まる2-6桁の文字列のみ受付とする）
if (!preg_match('!^[a-zA-Z][a-zA-Z0-9]{1,5}$!', $_POST['userid'])) die('useridが不適切です。');
// 入力値の受け入れ
$userid = $_POST['userid'];

//
// mysqlドライバ利用に近い形（手続き型）での記述例
//
// SQL準備
// *も使えるけれど、下記のようにカラムを指定しておけば、
// データベース側の構造が変わってもプログラム改変は不要となり、
// プログラミング中の記述ミスなども発見しやすくなるため、
// プログラム中にSQLを書く場合にはカラム指定必須と覚えておきましょう
$sql = "SELECT userid, username FROM users WHERE userid = ?";
// コネクト
$mysqli = mysqli_connect('host', 'user', 'pass', 'db');
// SQL送信
$stmt = mysqli_prepare($mysqli, $sql) or die('プリペア送信に失敗しました。SQL:' . $sql);
// パラメータの送信
mysqli_stmt_bind_param($stmt, 's', $userid) or die('パラメータ送信に失敗しました');
// SQL実行
mysqli_stmt_execute($stmt) or die('クエリ実行に失敗しました');
// SQL実行結果を受け取る変数を用意
// SQL中で出力指定されたカラムの並びに準拠します
mysqli_stmt_bind_result($stmt, $re_userid, $re_name) or die('変数接続に失敗しました');
// 結果取得と出力
while (mysqli_stmt_fetch($stmt)) {
    echo $re_userid, $re_name , '<br />';
}
// クローズ
mysqli_stmt_close($stmt);

//
// オブジェクト指向型での記述例
//
// SQL準備
$sql = "SELECT userid, username FROM users WHERE userid = ?";
// コネクト
$mysqli = new mysqli('host', 'user', 'pass', 'db');
// SQL送信
$stmt = $mysqli->prepare($sql) or die('プリペア送信に失敗しました。SQL:' . $sql);
// パラメータの送信
$stmt->bind_param('s', $userid) or die('パラメータ送信に失敗しました');
// SQL実行
$stmt->execute() or die('クエリ実行に失敗しました');
// SQL実行結果を受け取る変数を用意
$stmt->bind_result($re_userid, $re_name) or die('変数接続に失敗しました');
// 結果取得と出力
while ($stmt->fetch()) {
    echo $re_userid, $re_name , '<br />';
}
// クローズ
$mysqli->close();

2012/06/09 01:42:02

ご丁寧にありがとうございます。さらには、送信したポイントを返却までしていただいて、ご親切にありがとうございました。

まだまだ、人力検索のお世話になること多いと思いますので、その際は、またよろしくお願いできましたらと思います。

2012/06/09 10:58:47

うぃんど · Accepted Answer · 2012-06-08T13:29:35+09:00

No.3

うぃんど262511492012/06/08 13:29:35ここでベストアンサー

ダブルクォートで囲まれた中にあるシングルクォートは文字として取り扱われるため、
userid という文字列ではなく 'userid' という文字列だと誤認してしまうというのが原因です。

そのため質問文にあるように、複数のパーツに分けて求めたものを結合するという手間をかけています。
その他にも方法はありますが、現在では質問文にあるような書き方が主流です。

（ａ）質問文のように分離する方法
$sql = "SELECT * FROM users WHERE userid = '" . $_POST['userid'] . "'";
変数は変数だけで独立して扱うので、
エディタ上での検索や置換などの編集作業が容易になります。
文字列の結合演算子である . を（人間が）見逃してエラーになるなんてことにもなるので、
. の前後に半角スペースをいれるなどの工夫もしています。

（ｂ）中括弧を使って変数名であることを明示する方法
$sql = "SELECT * FROM users WHERE userid = '${_POST['userid']}'";
１つの変数をあらわす方法が複数（${_POST['userid']}と$_POST['userid']）になり、
再度コードを読み直したり、書き直したりする際にミスをしやすくなるため、
最近ではこの方法を使っている人をあまり見なくなってきました。

（ｃ）シングルクォートを使わない方法（非推奨）
$sql = "SELECT * FROM users WHERE userid = '$_POST[userid]'";
下記ページの「配列ですべきこととしてはならないこと」に詳しいので下記参照
http://php.net/manual/ja/language.types.array.php

他3件のコメントを見る

中括弧のが一番わかりやすいです。

2012/06/08 22:14:03

$mysqli = new mysqli("host", "user", "pass", "db");
$sql = "SELECT * FROM users WHERE userid = '". $_POST['userid']. "'";
$result = mysqli_query($mysqli , $sql) or die("クエリの送信に失敗しました。
SQL:".$sql);
$rows = mysqli_num_rows($result);

と書いて動くところまでは確認できたのですが、いろいろ間違っていそうです。
お手数ですが、上記ソースをプレースホルダを使って、正しくといいますか、一般的な形に書き直していただくことは可能でしょうか？

別途、お礼のポイント送信させていただきます。（こころばかりですが）

2012/06/08 23:43:07

mysqliでprepareを使った例

単体テスト用のhtmlフォーム付きにしておいたので、
"host", "user", "pass", "db"の設定と入力チェック部分を、
そちらの環境に合わせるだけで動くはずです
（テストですから入力チェックの部分をコメントアウトしてもかまいません）
（今回の回答用に新規作成し、動作テストしたものを貼り付けてます）

<html>
<head>
    <meta http-equiv="Content-Type" content="text/html; charset=utf8" />
    <meta http-equiv="content-style-type" content="text/css">
    <title>test</title>
</head>
<body>
    <form action="<?=$_SERVER['PHP_SELF'] ?>" method="post">
            <input type="text" name="userid" size="30"><br />
            <input type="submit" value="送信" />
    </form>
<?php
// 入力値の存在チェック
if (!isset($_POST['userid'])) die('useridが送られてきていません。');
// 入力値の適正チェック（アルファベットで始まる2-6桁の文字列のみ受付とする）
if (!preg_match('!^[a-zA-Z][a-zA-Z0-9]{1,5}$!', $_POST['userid'])) die('useridが不適切です。');
// 入力値の受け入れ
$userid = $_POST['userid'];

//
// mysqlドライバ利用に近い形（手続き型）での記述例
//
// SQL準備
// *も使えるけれど、下記のようにカラムを指定しておけば、
// データベース側の構造が変わってもプログラム改変は不要となり、
// プログラミング中の記述ミスなども発見しやすくなるため、
// プログラム中にSQLを書く場合にはカラム指定必須と覚えておきましょう
$sql = "SELECT userid, username FROM users WHERE userid = ?";
// コネクト
$mysqli = mysqli_connect('host', 'user', 'pass', 'db');
// SQL送信
$stmt = mysqli_prepare($mysqli, $sql) or die('プリペア送信に失敗しました。SQL:' . $sql);
// パラメータの送信
mysqli_stmt_bind_param($stmt, 's', $userid) or die('パラメータ送信に失敗しました');
// SQL実行
mysqli_stmt_execute($stmt) or die('クエリ実行に失敗しました');
// SQL実行結果を受け取る変数を用意
// SQL中で出力指定されたカラムの並びに準拠します
mysqli_stmt_bind_result($stmt, $re_userid, $re_name) or die('変数接続に失敗しました');
// 結果取得と出力
while (mysqli_stmt_fetch($stmt)) {
    echo $re_userid, $re_name , '<br />';
}
// クローズ
mysqli_stmt_close($stmt);

//
// オブジェクト指向型での記述例
//
// SQL準備
$sql = "SELECT userid, username FROM users WHERE userid = ?";
// コネクト
$mysqli = new mysqli('host', 'user', 'pass', 'db');
// SQL送信
$stmt = $mysqli->prepare($sql) or die('プリペア送信に失敗しました。SQL:' . $sql);
// パラメータの送信
$stmt->bind_param('s', $userid) or die('パラメータ送信に失敗しました');
// SQL実行
$stmt->execute() or die('クエリ実行に失敗しました');
// SQL実行結果を受け取る変数を用意
$stmt->bind_result($re_userid, $re_name) or die('変数接続に失敗しました');
// 結果取得と出力
while ($stmt->fetch()) {
    echo $re_userid, $re_name , '<br />';
}
// クローズ
$mysqli->close();

2012/06/09 01:42:02

ご丁寧にありがとうございます。さらには、送信したポイントを返却までしていただいて、ご親切にありがとうございました。

まだまだ、人力検索のお世話になること多いと思いますので、その際は、またよろしくお願いできましたらと思います。

2012/06/09 10:58:47

PHP　Mysql　について

ベストアンサー

うぃんど262511492012/06/08 13:29:35

その他の回答（2件）

きゃづみぃ1353911982012/06/08 12:14:30

gyoh_k1262012/06/08 12:59:23

うぃんど262511492012/06/08 13:29:35ここでベストアンサー

コメント（1件)

この質問への反応（ブックマークコメント）

PHP Mysql について

ベストアンサー

うぃんど262511492012/06/08 13:29:35

その他の回答（2件）

きゃづみぃ1353911982012/06/08 12:14:30

gyoh_k1262012/06/08 12:59:23

うぃんど262511492012/06/08 13:29:35ここでベストアンサー

コメント（1件)

この質問への反応（ブックマークコメント）

PHP　Mysql　について