URLパラメータにてMySQLを操作したい。

Question

#環境

• apache2.4
• PHP7.3
• MySQL5.7

(ローカルホストで動作しています）
#問題
curlにてhttp://~~~?(パラメータ）
を投げた際に、MySQL上のテーブルを操作するプログラムを作成したいのですが。
パラメータ要素

• function
• name
• amount

下記コードで一番目のケース(deleteall)を実行する際は上手く動作するのですが、
それ以降のケースが動作しません。
具体例
動作OK：http://~~~?function=deleteall
動作不可：http://~~~?function=addstock&name=test&amount=2332

<?php
$link = new mysqli("localhost", "root","pass","stocker");
$function = $_GET["function"];
$name= $_GET["name"];
$amountTmp = $_GET["amount"];
echo($amountTmp);
function is_decimal($value) {
    return filter_var($value, \FILTER_VALIDATE_INT) !== false;
}
$flag =  is_decimal($amountTmp);

switch($function){
    case "deleteall":
        $sqlQDel= "truncate table stocker";
        $result = $link->query($sqlQDel);
        var_dump($result);
        $link->close();
    case "addstock":
        if ($flag === true)
            exit("ERROR");
        $sqlQInert = "insert into stocker (name ,amount) values('$name','$amountTmp')";
        var_dump($sqlQInert);
        $result = $link->query($sqlQInert);
        var_dump($result);
        $link->close();
    case "checkstock":
        $sqlQCheck = "select select name,amount from stocker WHERE name = '$name'";
        $state = $link->query($sqlQ);
        var_dump($state);
        $link->close();
    // case "sell":
    
}
?>

#問題詳細追加
クエリ文をvar_dumpで確認したところ、
そもそも変数に値が入って居ない事が確認できました。

    case "addstock":
        if ($flag === true)
            exit("ERROR");
        $sqlQInert = "insert into stocker (name ,amount) values('$name','$amountTmp')";
        var_dump($sqlQInert);
        $result = $link->query($sqlQInert);
        var_dump($result);
        $link->close();

実行Curl
curl http://13.112.97.12/stocker/?function=addstock&name=test&amount=2344
結果
string(48) "insert into stocker (name ,amount) values('','')"
この様にパラメータが複数渡される場合、
$_GET['キー名']では複数の項目の取得はできないのでしょうか？

Comments

[takasima20]

とりあえず name 入れる変数名が違ってる。

[rayleonard]

ご指摘ありがとうございます。
タイポ修正しました。

[rayleonard]

此方解決いたしました。
curlで送信の場合URLの先頭末尾に"をつけないと上手く値が取れないようです。

Answer 1

エラーハンドリングは必ず入れましょう。
mysqli_sql_exception クラス

データベースはPHPからすると外部の仕組みです。エラーが起きても全て拾えるわけではありません。

あと、取得した値をそのままSQLに突っ込んでいるのでSQLインジェクションが可能な状態です。
エスケープをするか、できればプリペアドステートメントでパラメータを渡してください。

直接的な回答としては、SQLで文字列を含ませる場合、クォーテーションで囲う必要があるということです。
実際に実行予定のSQLを直にDBに実行してみると良いです。というか、直にDBに実行して正しく動くのを確認してからPHPから実行すべきです。

Comments

[rayleonard]

ご回答ありがとうございます。
>クォーテーションで囲う必要があるということです。
この場合はクエリに含む変数の前後に"を付与するということでしょうか？
例：$name → ".$name."
一応、下記のクエリをDB上で試して動作する事は確認済です。
insert into stocker (name ,amount) values("aaa","234");
select name,amount from stocker WHERE name = "aaa";

[m.ts10806]

いえ、SQLだけをベースに考え、その確認済みSQLを投入できるような文字列をPHPで組んでください。
今PHPで作られている文字列は下記のようになっているはずです。
insert into stocker (name ,amount) values(aaa,234);

というか、プリペアドステートメント使ってください。単にクォーテンション付与するだけではSQLインジェクションの脆弱性が残ったままです。

[m.ts10806]

>エラーハンドリングは必ず入れましょう。
mysqli_sql_exception クラス

>プリペアドステートメントでパラメータを渡してください。

「学習します」と後回しにすると結局他人ごとになるので忘れます。

まずは本当にわたっているか$_GET自体をvar_dump()するところからでしょうね。

ただ、IPそのまま出すのはまずいと思います。逆引きできます。
質問本文に記載してしまっては質問履歴から確認できますし。

[rayleonard]

うっかりしていました....
ご指摘ありがとうございます。
$_GET自体をvar_dumpしてみましたが、先頭のfunction移行はすべてNULLになっております。

[m.ts10806]

まだIPの件、まだ残ってるのと質問履歴から確認するので編集だけでは抹消できません。本当にマズイものであるのなら運営に直接問い合わせて削除依頼だしてください。