フォームデータをデータベースに保存する(PDO/MySQL)

Question

お世話になります。

フォームでポストされたデータをデータベース(MySQL)に保存するプログラムを作成したく
下記のコードではエラーは出ていないが保存ができていないので、どう修正すればよいかご教示お願い致します。

<?php

// database.php

try {
$pdo = new PDO('mysql:host=localhost;dbname=form_test;charset=utf8','form_test','abcdefgh');
} catch (PDOException $e) {
 exit('データベース接続失敗。'.$e->getMessage());
}

$stmt = $pdo -> prepare("INSERT INTO `form`(`id`, `company_name`, `company_unit`, `name`, `name_furigana`, `mail_address`, `tel1`, `tel2`, `tel3`, `fax1`, `fax2`, `fax3`, `postal_code1`, `postal_code2`, `zip`, `address`, `contact_us`) VALUES ('', '$_SESSION[company]', '$_SESSION[section]', '$_SESSION[name]', '$_SESSION[name2]', '$_SESSION[email]', '$_SESSION[tel1]', '$_SESSION[tel2]', '$_SESSION[tel3]', '$_SESSION[fax1]', '$_SESSION[fax2]', '$_SESSION[fax3]', '$_SESSION[zip1]', '$_SESSION[zip2]', '$_SESSION[prefecture]', '$_SESSION[address]', '$_SESSION[message]')");

$stmt->execute();

?>

Answer 1

下記のコードではエラーは出ていない

出てきていないのではなく、出すように設定されていないからです。

<?php
//開発時は必須です
ini_set('display_errors', 1);
error_reporting(E_ALL);

指摘すべき部分が複数あるので、後ほど追記します。

---

<?php

//開発時エラーメッセージを表示
ini_set('display_errors', 1);
error_reporting(E_ALL);

try {
	$pdo = new PDO('mysql:host=localhost;dbname=form_test;charset=utf8', 'form_test', 'h5nf648x');

	//プロペアドステートメントを利用してSQLインジェクションの脆弱性を潰す
	$sql = "INSERT INTO `form`(";
	$sql .= "`id`";
	$sql .= ", `company_name`";
	$sql .= ", `company_unit`";
	$sql .= ", `name`";
	$sql .= ", `name_furigana`";
	$sql .= ", `mail_address`";
	$sql .= ", `tel1`";
	$sql .= ", `tel2`";
	$sql .= ", `tel3`";
	$sql .= ", `fax1`";
	$sql .= ", `fax2`";
	$sql .= ", `fax3`";
	$sql .= ", `postal_code1`";
	$sql .= ", `postal_code2`";
	$sql .= ", `zip`";
	$sql .= ", `address`";
	$sql .= ", `contact_us`";
	$sql .= ") VALUES (";
	$sql .= "NULL";
	$sql .= ", :company_name";
	$sql .= ", :company_unit";
	$sql .= ", :name";
	$sql .= ", :name_furigana";
	$sql .= ", :mail_address";
	$sql .= ", :tel1";
	$sql .= ", :tel2";
	$sql .= ", :tel3";
	$sql .= ", :fax1";
	$sql .= ", :fax2";
	$sql .= ", :fax3";
	$sql .= ", :postal_code1";
	$sql .= ", :postal_code2";
	$sql .= ", :zip";
	$sql .= ", :address";
	$sql .= ", :contact_us";
	$sql .= ")";
	$stmt = $pdo->prepare($sql);

	// ここから以下は、適切なバリデーション処理が事前にされていることが前提
	//
	// 質問にあるような
	// $_SESSION[company_name]
	// という書き方はNG
	//
	// ※ company_name が定数でない限りにおいて
	//
	// $_SESSION['company_name']
	// と書く
	//
	// $_SESSION 変数から SQL に渡される例は通常ないはずだが、
	// 一応何か特殊な状況があるのであろうという意味で、こkでは指摘の対象外。
	// 
	// プロペアドステートメント で ?, ?, ? .... のように使う方法もあるが、
	// 対応がわかりやすく、無用なミスを事前に防ぐ意味で、
	// :column_name を使用
	// 
	// 触れていない情報もあるので、詳細は公式リファレンスを読んでください。
	//
	$arr = [];
	$arr[':company_name'] = $_SESSION['company_name'];
	$arr[':company_unit'] = $_SESSION['company_unit'];
	$arr[':name'] = $_SESSION['name'];
	$arr[':name_furigana'] = $_SESSION['name_furigana'];
	$arr[':mail_address'] = $_SESSION['mail_address'];
	$arr[':tel1'] = $_SESSION['tel1'];
	$arr[':tel2'] = $_SESSION['tel2'];
	$arr[':tel3'] = $_SESSION['tel3'];
	$arr[':fax1'] = $_SESSION['fax1'];
	$arr[':fax2'] = $_SESSION['fax2'];
	$arr[':fax3'] = $_SESSION['fax3'];
	$arr[':postal_code1'] = $_SESSION['postal_code1'];
	$arr[':postal_code2'] = $_SESSION['postal_code2'];
	$arr[':zip'] = $_SESSION['zip'];
	$arr[':address'] = $_SESSION['address'];
	$arr[':contact_us'] = $_SESSION['contact_us'];

	$stmt->execute($arr);
	//$intLastInsertId = $pdo->lastInsertId();
} catch (\PDOException $e) {
	var_dump($e);
}

どこで改行するかなども、意図があってやっていることなので、なぜこういう書き方しているのだろうかなど考えて見てはいかがでしょうか？

好みはありますので、この辺は人によって違いは大きい部分でしょうけど…

Comments

[zer0root]

いつもお力添えいただきありがとうございます。Kosuke_Shibuyaさんのコードは大変参考になりました。ご指摘いただいた部分についてしっかりと学ばせていただきます

Answer 2

エラー表示については既に回答があるので、そちらを参照して頂いて、他の部分を。
1.フォームからのPOST値は$_SESSIONでは無く、$_POSTに格納されます。MySQLにデータを投入するスクリプトを作る前に、「フォーム値からPOSTされた値をただ表示するだけ」の様な簡単なスクリプトを作り、フォーム値の取得方法を試してみてください。
2.PDO::prepareの使い方について完全に誤解しています。この状態では($_SESSIONが$_POSTになったとして)SQLインジェクションし放題の危ない実装になります。
http://php.net/manual/ja/pdo.prepared-statements.php
を参考にしてみてください。

Comments

[zer0root]

tanatさんの仰るとおりPDO::prepareについて誤解している部分がありました。ご指摘ありがとうございました。しっかりと学習しときたいと思います。

Answer 3

こんばんわ。

$stmt->execute();

のあとで PDO::errorInfo を呼び、どのようなエラーが出ているか探ってみてはどうでしょうか?

http://php.net/manual/ja/pdo.errorinfo.php

個人的にはidの値が未設定というのが気になりますね。