PHPにて絞り込み検索を行いたい

Question

前提・実現したいこと

PHPの社員マスタの絞り込み検索についての質問です。
現在、PHPとmysqlを使用してマスタ（employee）から社員の絞り込み検索を行おうとしています。

発生している問題・エラーメッセージ

性別(sexual)と所属部署(department)が選択されていないときに
検索ボタン(search)を押すと全件取得するようにしたいのですが、データを取得することができません。
ちなみに

・性別、所属部署の両方が選択された場合
・性別のみ選択された場合
・所属部署のみ選択された場合

はそれぞれの条件で取得できます。

PHP初心者の練習のためメンテナンス性、sqlインジェクション等についてはまだ考慮しておりません。

該当のソースコード

    // DB接続
    $dbh = new PDO('mysql:host=localhost;dbname=syain_db;charset=utf8', $user, $pass);
    $dbh->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    // 全表示ボタン押下、または初回ログイン時
    if (isset($_POST['all']) || empty($_POST['search']))
    {
        $sql = "SELECT * FROM employee ";
    }
    // 検索ボタン押下時
    elseif(isset($_POST['search']))
    {
        if($_POST['department'] === "" && $_POST['sexual'] === "")
        {
            $sql  = "SELECT * FROM employee ";
        }
         if($_POST['department'] === "")
        {
            $sql  = "SELECT * FROM employee ";
            $sql .= "WHERE ";
            $sql .= 'sexual = "' . $_POST['sexual'] . '"';
        }
        elseif($_POST['sexual'] === "")
        {
            $sql  = "SELECT * FROM employee ";
            $sql .= "WHERE ";
            $sql .= 'department = "' . $_POST['department'] . '"';
        }
        else
        {
            $sql  = "SELECT * FROM employee ";
            $sql .= "WHERE ";
            $sql .= 'department = "' . $_POST['department'] . '"';
            $sql .= "AND ";
            $sql .= 'sexual = "' . $_POST['sexual'] . '"';
        }
    }

    $stmt = $dbh->query($sql);
    var_dump($sql);
    $result = $stmt->fetchAll(PDO::FETCH_ASSOC);

?>
<p>
<form method="post">
条件を絞り込む<br>

フリーワード<input type="text" name="freeword"><br>

 性別
 <select name = "sexual">
    <option value=""></option>
    <option value="1">男</option>
    <option value="2">女</option>
 </select><br>

 所属部署
<select name="department">
<option value="">選択してください</option>
    <option value="1">システム部</option>
    <option value="2">営業部</option>
    <option value="3">総務部</option>
</select><br>

<input type="submit" name="search" value="検索する"></input>

<form>
    <input type="submit" name="all" value="全員表示">
</form><br>

試したこと

条件の書き方を変えたりしてみたのですが同じ結果になってしまい、どうすればわからない状況です・・・。
解決法等ございましたらどうか、コード等でご教示お願いいたします。

Comments

[yambejp]

両方選択されていないときの検索は全データが表示されていいのですか？

[hj_petricall]

両方未選択の場合は全件取得と同じになります。
わかりずらくて申し訳ございません。加筆しました。

[m.ts10806]

>sqlインジェクション等についてはまだ考慮しておりません。

回答のコードはSQLインジェクションが考慮されたコードですけど、認識されてますか？
(初心者だから考慮しないというのはおかしいですが)

[hj_petricall]

すみません、まだSQLインジェクション攻撃は外部からの不正な入力というぐらいの認識しかないので
認識不足の部分があります…。
どのようになっているのかご教示お願いできますでしょうか…。

Answer 1

こんな書き方になります

Comments

[yambejp]

<?PHP
$department=filter_input(INPUT_POST,'department',FILTER_VALIDATE_INT);
$sexual=filter_input(INPUT_POST,'sexual',FILTER_VALIDATE_INT);

if(count($_POST)>0){
$sql = "SELECT * FROM employee where 1 ";
$data=[];
if(is_numeric($department)){
$sql.=" and department=? ";
$data[]=$department;
}
if(is_numeric($sexual)){
$sql.=" and sexual=? ";
$data[]=$sexual;
}
print $sql.";<br>";
print_r($data);
}
?>
<form method="post">
フリーワード<input type="text" name="freeword"><br>
性別
<select name = "sexual">
<option value="">-</option>
<option value="1">男</option>
<option value="2">女</option>
</select><br>
所属部署
<select name="department">
<option value="">選択してください</option>
<option value="1">システム部</option>
<option value="2">営業部</option>
<option value="3">総務部</option>
</select><br>
<input type="submit" name="search" value="検索する">
</form><br>

[yambejp]

$sqlと$dataをつかってprepareで処理してください

[hj_petricall]

queryの部分をprepareに変更するという認識でよろしいでしょうか

[yambejp]

$stmt = $dbh->query($sql);
の部分を

$stmt = $pdo->prepare($sql);
$stmt->execute($data);
とします

私のソースで言う
print $sql.";<br>";
print_r($data);
の部分で、$sqlと$dataがセットされているのがわかると思います

[hj_petricall]

なるほど…。
ちなみに検索はできたのですが全員表示ボタン（all）を押した際も検索と同じ検索になってしまいます。。。

// 現状のコード
$department=filter_input(INPUT_POST,'department',FILTER_VALIDATE_INT);
$sexual=filter_input(INPUT_POST,'sexual',FILTER_VALIDATE_INT);

// データが入ってた時
if(count($_POST) > 0 )
{
$sql = "SELECT * FROM employee where 1 ";
$data = [];
if(is_numeric($department))
{
$sql.=" and department=? ";
$data[]=$department;
}
if(is_numeric($sexual))
{
$sql.=" and sexual=? ";
$data[]=$sexual;
}

$stmt = $dbh->prepare($sql);
$stmt->execute($data);
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);

postでデータが入った際に検索を行うようになってるからだと思いますが、全員表示ボタン（all）を押した際に全件取得するにはどうすればよろしいでしょうか…。
全員表示ボタンは質問のほうのコードに記載してあります。

[yambejp]

allの必要性をあまり感じないです。jsで条件をクリアして検索すればいいだけでは？
どうしてもallボタンを付けたいならこう

[yambejp]

<?PHP
$department=filter_input(INPUT_POST,'department',FILTER_VALIDATE_INT);
$sexual=filter_input(INPUT_POST,'sexual',FILTER_VALIDATE_INT);
$all=filter_input(INPUT_POST,'all');

if(count($_POST)>0){
$sql = "SELECT * FROM employee where 1 ";
$data=[];
if(is_null($all)){
if(is_numeric($department)){
$sql.=" and department=? ";
$data[]=$department;
}
if(is_numeric($sexual)){
$sql.=" and sexual=? ";
$data[]=$sexual;
}
}
print $sql.";<br>";
print_r($data);
}
?>
<form method="post">
フリーワード<input type="text" name="freeword"><br>
性別
<select name = "sexual">
<option value="">-</option>
<option value="1">男</option>
<option value="2">女</option>
</select><br>
所属部署
<select name="department">
<option value="">選択してください</option>
<option value="1">システム部</option>
<option value="2">営業部</option>
<option value="3">総務部</option>
</select><br>
<input type="submit" name="search" value="検索する">
<input type="submit" name="all" value="全員表示">
</form><br>

[hj_petricall]

確かにallはあまり必要性がないですが、すべて出したい際に表示を選択をすべて初期に戻すのが面倒くさいので全員表示のボタンを作りたかったです。
わかりやすく説明していただきありがとうございます。