PHP DBへのデータ追加

Question

$staff_name = $_POST['name'];
    $staff_pass = $_POST['pass'];

    $staff_name = htmlspecialchars($staff_name, ENT_QUOTES, 'UTF-8');
    $staff_pass = htmlspecialchars($staff_pass, ENT_QUOTES, 'UTF-8');

    $dsn = 'mysql:host=localhost:8889;dbname=shop;charest=utf8';
    $user = 'tennisuser';
    $password = 'password';

    $db = new PDO($dsn, $user, $password);
    $db ->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    $db ->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

    $sql = 'INSERT INTO mst_staff(name, password) VALUES(?, ?)';
    $stmt = $db ->prepare($sql);
    $stmt ->bindParam(1, $staff_name, PDO::PARAM_STR);
    $stmt ->bindParam(2, $staff_pass, PDO::PARAM_STR);
    $stmt ->execute($data);
    $db = null;

    print $staff_name;
    print 'さんを追加しました<br />';

$staff_name = $_POST['name'];
    $staff_pass = $_POST['pass'];

    $staff_name = htmlspecialchars($staff_name, ENT_QUOTES, 'UTF-8');
    $staff_pass = htmlspecialchars($staff_pass, ENT_QUOTES, 'UTF-8');

    $dsn = 'mysql:host=localhost:8889;dbname=shop;charest=utf8';
    $user = 'tennisuser';
    $password = 'password';

    $db = new PDO($dsn, $user, $password);
    $db ->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    $db ->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

    $sql = 'INSERT INTO mst_staff(name, password) VALUES(?, ?)';
    $stmt = $db ->prepare($sql);
    $data[] = $staff_name;
    $data[] = $satff_pass;
    $stmt ->execute($data);


    $db = null;

    print $staff_name;
    print 'さんを追加しました<br />';

両方ともtry文の中です。上は問題なく機能するのですが下のように配列を使って挿入しようとすると
NULLは挿入できないという旨のエラーが出ます。原因はなんでしょうか。MYSQLとマンプを使用しています。

Comments

[m.ts10806]

エラーは要約したりせず原則そのまま提示してくださいね

[退会済みユーザー]

データベースにhtmlspecialchars()で加工した文字列を保存するとハマるよ。htmlとしてデータベースに保存してある文字列を正しく表示するための関数がhtmlspecialchars()なのであって。使い方が逆。

Answer 1

NULLは挿入できない

$data[] = $satff_pass;

typoあり。

それと、
htmlspecialchars()の使い所がおかしいです。
htmlコード上に正しく文字列を表示するためにエスケープするための関数ですので、
データベースに記録する際はエスケープしたものではなく
正しいデータを記録します。
（もちろん、データベース登録用にエスケープする処理も必要になるのですが、
それはhtml用とは別の考えです。）

以下、机上のみ。

    function h($s) {
        return htmlspecialchars($s, ENT_QUOTES, "UTF-8");
    }

    $staff_name = filter_input(INPUT_POST, 'name');
    $staff_pass = filter_input(INPUT_POST, 'pass');

    //$staff_name = htmlspecialchars($staff_name, ENT_QUOTES, 'UTF-8');
    //$staff_pass = htmlspecialchars($staff_pass, ENT_QUOTES, 'UTF-8');

    $dsn = 'mysql:host=localhost:8889;dbname=shop;charest=utf8';
    $user = 'tennisuser';
    $password = 'password';

    $db = new PDO($dsn, $user, $password);
    $db ->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    $db ->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

    // SQL実行前に、POSTデータの検証処理を実行しておく必要がある
    // 少なくとも、未入力かどうか、文字数、変な記号くらいはチェック。
    $err_msgs = array();
    if ($staff_name === '') {
        $err_msgs[] = 'nameの入力がない。';
    }
    if ($staff_pass === '') {
        $err_msgs[] = 'passwordの入力がない。';
    }
    if (strlen($staff_pass) < 8) {
        $err_msgs[] = 'passwordの文字数が少ない。';
    }
    if (strpos($staff_pass, ' ;!"$&()?') !== FALSE) {
        $err_msgs[] = 'passwordに使用できない文字を含んでいる。';
    }

    if (count($err_msgs) == 0) {
        $sql = 'INSERT INTO mst_staff(name, password) VALUES(?, ?)';
        $stmt = $db ->prepare($sql);
        $data = array($staff_name, $staff_pass);
        $stmt ->execute($data);

        echo h($staff_name) . 'さんを追加しました<br />';
    }
    else {
        echo implode('<br />', $err_msgs);
    }

とか。

Comments

[退会済みユーザー]

入力可能な文字種の判定は絶対やること。
その理由は、「SQLインジェクション」攻撃のことを調べて見つけてね。
それと、実業務で使う前提なら、二重登録チェック（おなじnameがすでに登録されていたら拒否）や同じアドレスからの大量登録への防御なども検討するべき。

Answer 2

質問者さんが下の配列を使って記述されたPHPはPOSTで受けたパラメータが
バインドされていませんので当然NULLになります。
ユーザー名・パスワード・DB名は当方のものになりますので
適宜変更してください。

function h($str) {
  return htmlspecialchars($str, ENT_QUOTES, 'UTF-8');
}

    $staff_name = h($_POST['name']);
    $staff_pass = h($_POST['pass']);

    $dsn = 'mysql:host=localhost:8889;dbname=testphp;charest=utf8';
    $user = 'root';
    $password = 'root';

    $db = new PDO($dsn, $user, $password);
    $db ->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    $db ->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
    $sql = 'INSERT INTO shop(name, pass) VALUES(?, ?)';

    $stmt = $db ->prepare($sql);
    $stmt ->bindParam(1, $staff_name, PDO::PARAM_STR);
    $stmt ->bindParam(2, $staff_pass, PDO::PARAM_STR);

    $stmt ->execute($data);
    $db = null;

    print $staff_name;
    print 'さんを追加しました<br />';

Comments

[Chandler_Bing]

ありがとうございます。やはりそうですよね
配列で入れる方法なんてのは存在するのですか。

[bellsmarket]

カラム数が増えてくると、1行づつ記述するのは、骨が折れますので、
foreachで$sqlに使用するパラメータ名やbindParamメソッドを
ループさせて処理すれば可能です。

[退会済みユーザー]

しつもん、INSERT INTO文の実行のあとに、なぜにfetch()？ SELECT文でもないのに。

[bellsmarket]

失礼しました。テスト環境で値を取得が出来たか確認した時の消し忘れです。修正いたします。