ワードプレスでユーザーネームのあいまい検索をしたい

Question

ワードプレスでユーザーネームのあいまい検索をしたい

閲覧ありがとうございます。

私はphpやデータベースほぼ初心者なので教えてもらえるとありがたいです。

内容としましては、ユーザーがformのinputに入力中、ajaxを利用してリアルタイムであいまい検索結果を表示させたいです。前方一致が理想的です。
input入力からajaxで関数自体は呼び出せているのですが、変数とワイルドカードを組み合わせてデータベースから抽出しようとしても0件で表示されてしまいます。

該当のソースコード

function artist_select(){

  $e = $_POST['e'];　//ajaxからのdata

	global $wpdb;
	$res = $wpdb->get_results(' SELECT * FROM wp_users WHERE display_name like "$e%" ');
	$num = $wpdb->num_rows;
	if($num === 0){
		$return = array(
			"test" => '0'
		);
	}else{
		$return = $res;
	}

	echo json_encode($return);
  die();
}

試したこと

「"$e%"」の部分を「"abc%"」といったテキストで入力した場合はちゃんと抽出できました。
また、下記の2サイトを参考にして何パターンか試してみたのですが、変数での抽出はできませんでした。

参考サイト
https://www.imamura.biz/blog/15537
http://blog.livedoor.jp/net_scope-diary/archives/31253813.html

Comments

[Orlofsky]

https://teratail.com/help#about-markdown より、URLは [リンク] に、コードは [コードを入力] に修正してください。

[jackd]

すみません、初めてなのにやり方も調べずに投稿してしまいました。
教えてくださりありがとうございます！

Answer 1

文字列-php.net

引用符の変数展開に関して復習すると良いです。

ただ、sql 文の中に直接ユーザ投稿の変数を展開する方法は公開サーバ上では厳禁です。

Comments

[jackd]

回答ありがとうございます！
恥ずかしながら「'」と「"」でそんな違いがあるの初めて知りましたありがとうございます！
sql文の中で変数の展開が厳禁となると、今とはまた違う方法を取ってデータベースにアクセスしたほうがいいってことですかね？

[hideki_nakajima]

PHP でデータベースを扱う場合、現在では PDO が最適な方法です。
プリペアドステートメントによってユーザー投稿の変数を安全に SQL 文の中に落とし込むことができます。
https://www.php.net/manual/ja/book.pdo.php
公式ドキュメントより分かりやすい使い方については、ググってみてください。

[退会済みユーザー]

> hideki_nakajima さん
本件は WordPress の質問なので、PDO は関係しません。
内部的にも mysqli を使用していたはずです。

> jackd さん
SQL 文の作成に関しては WordPress Codex にドキュメントが用意されているので参考にすると良いです。少し古臭いやり方で実現します。

SQL インジェクション攻撃からクエリを保護する
https://wpdocs.osdn.jp/%E9%96%A2%E6%95%B0%E3%83%AA%E3%83%95%E3%82%A1%E3%83%AC%E3%83%B3%E3%82%B9/wpdb_Class#Protect_Queries_Against_SQL_Injection_Attacks

[jackd]

なるほど！ありがとうございます！
長い時間悩んでいたんですごい助かりました！