memo=" ' . $_POST['memo'] . ' " の意味がわからない

Question

現在、PHP、SQLで簡単なメモ帳を作ろうとしているのですが、以下のサンプルコードに関して
memo=" ' . $_POST['memo'] . ' "の部分がどうしてもわかりません。
なぜ、memo="$_POST['memo']"ではなく、このような形になるのでしょうか？
ご教授ください。

「imput.html」

<meta http-equiv="content-type" charset="utf-8">
<main>
<h2>Practice</h2>

<form action="input_do.php" method="post">
  <textarea name="memo" cols="50" rows="10" placeholder="自由にメモを残してください"></textarea><br>
  <button type="submit">登録する</button>
</form>
</main>

「input_do.php」

<?php
try {
  $db = new PDO("mysql:dbname=mydb;host=localhost;charset=utf8","root","root");
  $db->exec('INSERT INTO memos SET memo="'.$_POST['memo'].'",created_at=NOW()');
} catch(PDOException $e) {
  print( "DB接続エラー: ".$e->getMessage());
}
?>

Answer 1

ソースコードに付いている色を確認してください。

'INSERT INTO memos SET memo="'で1つの文字列、'",created_at=NOW()'で1つの文字列で、その間に$_POST['memo']を置いて連結しているだけです。

---

もっとも、こんな$_POSTの中身をSQLに展開するようなコードは書いてはいけません（SQLインジェクションという脆弱性を含んでいます）。'INSERT INTO memos SET memo=?,created_at=NOW()'でprepareして、executeの際に$_POST['memo']をはめ込んでください。

$stmt = $db->prepare('INSERT INTO memos SET memo=?,created_at=NOW()');
$stmt->execute($_POST['memo']);

Comments

[pikumin777]

maisumakun様、解答ありがとうございます。

今ようやく理解できました！

セキュリティのご指摘もしっかり受け止め、改善していきたいと思います！

Answer 2

'INSERT INTO memos SET memo="'
と
$_POST['memo']
と
'",created_at=NOW()'
の3つを文字列連結するためです。
シングルクォートとダブルクォートが混在して混乱しやすいので注意してください。

以下のようなINSERT文を使おうとしているのですが

INSERT INTO memos SET memo="xxx", created_at=NOW()

xxxの部分は固定ではなく、外部から受け取ったデータ、つまり変数に保存されている値を使用します。

そのため、文字列連結してINSERT文を作成している、ということです。

Comments

[pikumin777]

dice142様、解答ありがとうございます。

今ようやく理解できました！