SQL実行分を分割して記載している理由

Question

前提

sqlの命令文を分割して記載されている場面をよく見かけますが、なぜ分割にして記載をしているのかが分からないので、教えていただきたいです。調べても該当の理由が分からなかったので、よろしくお願い致します。

該当のソースコード

			//INSERT
			$sql  = "INSERT INTO category (";
			$sql .= "id,";
			$sql .= "dispid,";
			$sql .= "categoryname,";
			$sql .= "color,";
			$sql .= "f_calc,";
			$sql .= "f_disp ";
			$sql .= ") VALUES ( ";
			$sql .= " ".$update_id.",";
			$sql .= " ".$update_dispid.",";
			$sql .= " '".$update_categoryname."',";
			$sql .= " ".$update_color.",";
			$sql .= " ".$update_f_calc.",";
			$sql .= " ".$update_f_disp." ";
			$sql .= ") ";

PHP

Answer 1

SQLではなくPHPの文字列の格納の仕方の問題かと。
私はヒアドキュメントで改行込みで書くほうが好きですが。

それより、提示のコードでは値をそのまま突っ込んでることのほうが問題としては気になりますが

Comments

[dong]

ご回答ありがとうございます。

問題事項ですが、
値をそのまま突っ込んでいることで、SQLインジェクション対策がなされていないことが問題になりますでしょうか？
通常はプレースホルダーというものを用意するのが一般的でしょうか？

[m.ts10806]

はい。フレームワークを利用しないのであれば、PDOなりDB関連モジュール（MySQLならmysqli）の機能でSQLエスケープを行う必要があります。
ちなみにプレースホルダーではなく「プリペアドステートメント」です。

[sazi]

> @m.ts10806 さん
「プリペアドステートメント」はSQLの所謂「コンパイル」ですから、インジェクション対策については「プレースホルダの利用」が相応しいと思います。

[m.ts10806]

saziさん
ご指摘ありがとうございます。
頭の中がなぜかhtmlのほうになっておりました。

Answer 2

1行で書くより見やすい、扱いやすいとコードを書いた人がそう考えていたんじゃないでしょうか

Comments

[dong]

ご回答ありがとうございます！
見やすさの問題なんですね！