●mysqlがphpmyadminでは動くのに、phpでは動かない。

Question

var_dumpした文字列をphpmyadminのsqlで実行するとDBに入るのですが、
localのphp上で動かすとDBに入らなくて困ってます。
ご教授頂けますか。
以下のように書いています。

$password = hash( 'SHA256', $password); 
//登録
$sql = "INSERT INTO `posts` (`id`, `message`, “password“, “created_at“) "
	."VALUES (".id.",'".$message."','".$password."','".$created_at."')";
var_dump($sql);
$result = mysqli_query($sql);
mysql_close($link);

Comments

[unau]

エラーメッセージも添えて質問するとよいと思います。あと、PHP 部分はコードブロックを使って書いたほうがいいと思います。

[takeji]

コードブロック使ってます。<?php　です。
エラーは出てないです。

[mpyw]

コードブロックは ```php から始まって ``` で終わる書き方です．これを使えば回答者が使っているように美しい表記になりますよ．

[takeji]

＞コードブロック ```php

は初めて聞きました。上記で検索しましたが見つかりません。出典を下さいますか。

[unau]

teratail で質問や回答において、「ここからここまでは PHP のコードです」ということを指定する方法、ということです。PHP の構文を解釈してシンタックスハイライトしてくれるのでコードが見やすくなります。また、そのコードブロック内は PHP のコードとして解釈され、コードブロック外の通常の markdown 記法の解釈がなされません。たとえば、「`x`」と書いた場合、コードブロック外ならコード中の文字列「x」として表示されますが、コードブロック内ならそのままコードの一部として「`x`」が表示されます。
teratail に限らず技術系のサイトでは一般的な markdown 記法です。

[unau]

https://teratail.com/help
こちらの「Markdownの機能を知りたい」の「コードを入力」の部分に相当します。

[mpyw]

unauさん，補足ありがとうございます．ちょっと不親切な回答でした，すみません

Answer 1

$result が、false なら、エラーになっていますのでエラーをチェックしてみましょう。

コード例としては、こんな感じかな。

<?php
$link = mysqli_connect("localhost", "my_user", "my_password", "database");

// 
if (mysqli_connect_errno()) {
    echo mysqli_connect_error();
    exit();
}

// SQL 実行
$result = mysqli_query($link, "SELECT * FROM Table-name LIMIT 10");

// 値が帰ってきたら件数表示。false ならエラー表示
if($result){
    echo mysqli_num_rows($result);
} else {
    echo mysqli_error($link);
}

mysqli_close($link);

Comments

[takeji]

$resultはNULLでした。

[CHERRY]

$result が、null ということは、mysqli_query を実行時にエラーになっていますね。
mysqli_query の次の行に

if(!$result){ echo mysqli_error($link); }

を追加して、どのようなメッセージが表示されるでしょうか？

[mpyw]

mysqliを使うにしても，いちいちif文で成功したかどうかをチェックするのは面倒なので，

mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);

を最初に実行しておき， mysqli_sql_exception がスローされるようにすべきだと思います．

[takeji]

＞mysqli_query の次の行に
＞if(!$result){ echo mysqli_error($link); }

何も出ないです。

[takeji]

＞mysqli_sql_exception がスローされるようにすべきだと思います
CertaiN様、
ちょっとレベルが高くて分かりませんでした。「mysqli_sql_exception　書き方　スロー」で書き方の例を検索しましたが、スローの仕方が見つからず、分かりませんでした。
すいません。

[mpyw]

> スローの仕方が見つからず、分かりませんでした。

既に書いたとおり，

mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);

を最初に実行しておくと，$mysqli->query() あるいは mysqli_query() が失敗したときに，mysqli_sql_exception がPHPによって自動的にスローされる，ということです．自分でスローするわけではありません．

また，基本的にこういう情報は英語で検索した方が見つかりやすいです．今回の情報は「mysqli throw exception」でググるとStackOverflowなりPHP公式ドキュメントのユーザーノートなり，引っかかると思います．

Answer 2

まずSQL文にユーザ入力をパラメータとして取り込む際， "'" . $var . "'" あるいは "'{$var}'" のように書いてはいけません．SQLインジェクション攻撃に対して脆弱になります．プリペアドステートメントおよびプレースホルダを使いましょう．

また，クエリ発行のタイミングでエラーがあった場合例外をスローするように設定しておくべきです．falseやnullになるだけでは不親切すぎますよね．

さらに，パスワードハッシュには標準の password_hash 関数を使うようにしましょう．暗号化ベクトルなしのSHA256だけではまだ安全性の面で不十分です．

POSTでパラメータを受け取り，結果をJSONとして返すAPI風に実装してみます．mysqliは使いにくいので**PDO**で書きます．よほどのことがない限り，初心者がmysqliを触る理由はありません．

<?php

// デフォルトでは「text/html」なので「application/json」であるとして明示する
// 文字コードにはUTF-8を指定する
header('Content-Type: application/json; charset=UTF-8');

try {
    
    // $_POST['id'], $_POST['message'], $_POST['password'] を文字列として確実に受け取る
    // 「$$var」は可変変数で，順番に $id, $message, $password となる
    foreach (['id', 'message', 'password'] as $var) {
        $$var = (string)filter_input(INPUT_POST, $var);
        if ($$var === '') {
            // どれか1つでも空だったら「400 Bad Request」として処理を中断する
            throw new RuntimeException("Missing parameter: $var", 400);
        }
    }
    
    // PHP5.5以降使える最も安全なパスワードハッシュ生成関数を使用する
    $password = password_hash($password, PASSWORD_DEFAULT);

    // 東京の現在時刻の文字列を生成
    $created_at = (new DateTime('now Asia/Tokyo'))->foramt('Y-m-d H:i:s');
    
    // mydbデータベースに接続 (失敗するとPDOExceptionがスローされて処理が中断される)
    $pdo = new PDO(
        'mysql:host=localhost;dbname=mydb;charset=utf8',
        'dbuser',
        'dbpassword'
    );
    
    // SQL実行時のエラーでもPDOExceptionがスローされて処理が中断されるようにする
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    
    // INSERT文のプリペアドステートメントを生成し，
    // 「?」のプレースホルダ部分に順番に変数を当てはめて実行する
    $stmt = $pdo->prepare("
        INSERT INTO posts(id, message, password, created_at)
        VALUES (?, ?, ?, ?)
    ");
    $stmt->execute([$id, $message, $password, $created_at]);

    // 結果をJSONで表示
    $message = 'success';
    echo json_encode(compact('message'), JSON_UNESCAPED_UNICODE);
    
} catch (PDOException $e) {
    
    // PDOがエラーを検知したときはここに飛んで来る
    http_response_code(500); // 「500 Internal Server Error」
    $error = $e->getMessage();
    echo json_encode(compact('error'), JSON_UNESCAPED_UNICODE);
    
} catch (RuntimeException $e) {
    
    // 手動で中断したときはここに飛んで来る
    http_response_code($e->getCode());
    $error = $e->getMessage();
    echo json_encode(compact('error'), JSON_UNESCAPED_UNICODE);
    
}

Answer 3

実際のソースコードで変数のidに$を付け忘れてるとかではありませんよね、念の為。

//
           . "VALUES (" . $id . ",'" . $message . "','" . $password . "','" . $created_at . "')"; 
//                       ^^^

Comments

[takeji]

$ついてます。投稿への対応で変数名変えた時に付け忘れました。汗

[mpyw]

実験用であれば問題ないかもしれませんが，SQLインジェクションとその対策に関して全く言及していない回答は今後のことを考えると不親切だと思います．

[takeji]

実験用です。ちなみに初心者です。

[mpyw]

個人的には，「初心者だからセキュリティ対策はあとでいい」というのは良くない教え方だと思ってます．「セキュリティ対策用の書き方が難しいのでとりあえずおまじないとして理解したことにする」ならまだマシですが．もしこれを怠るのであれば，あなたは

「さて一通り作ってみたし公開してみようかな」

と考えることを自粛しなければなりません．いちいち

「公開するから安全なコードに直さないと…」

ってなるの，どう考えても二度手間だと思います．