DBにレコードを挿入する際、１つのテーブルでのみ文字化けしてしまいます。

Question

初学者です。ご教授をお願い致します。
XAMPPでMySQLとApacheを使用しています。

できないこと

1つのデーベース内に、4つのテーブルを作っているのですが
1つのテーブルでのみ、文字化けしてレコードが挿入されてしまいます。
きちんとしたものを挿入できるようにしたいです。
ちなみにですが、会員登録をしようとしているところです。
コマンドでINSERT文で挿入すると文字化けしませんでした。

具体的には、
(name)tetejiro
'tetejiroa'
(year)1
'1'
(pass)aaa
'47bce5c74f589f4867dbd57e9ca9f808'
※暗号化した上で保存するようにしています。
(mail)[e-mail]
'[e-mail]'
このようにレコードが挿入されます。

※漢字部分はそのままでした。(name)質問　⇒　'質問'

試したこと

DBへ接続する際は、このように記載しています。
$dsn='mysql:host=localhost;dbname=portfolio;charset=utf8mb4_general_ci';
※最初は、一番最後の文字コードをutf8でしていたのですが、
照合順序がutf8mb4_general_ciとなっていたため、上記へ変更してみましたが、だめでした。

コード

          <form action="reg-done.php" method="post">
          <p><input type="hidden" name="name" value="'<?php print $name; ?>'"></p>
          <p><input type="hidden" name="year" value="'<?php print $year; ?>'"></p>
          <p><input type="hidden" name="pass" value="'<?php print $pass; ?>'"></p>
          <p><input type="hidden" name="mail" value="'<?php print $mail; ?>'"></p>
          <p><input type="submit" value="始める">
          </form>

        try
        {
            require_once '../hensu.php';
            $post=sanitize($_POST);
            $name=$post['name'];
            $year=$post['year'];
            $pass=$post['pass'];
            $mail=$post['mail'];

            require_once '../db.php';
　　　　　　　 //$dsn='mysql:host=mysql~省略します~ ;charset=utf8';が含まれています。

            $dbh=new PDO($dsn,$user,$password);
            $dbh->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION);

            $sql='LOCK TABLES member READ';
            $sql='INSERT INTO member(name,year,pass,mail) VALUES (?,?,?,?)';
            $stmt=$dbh->prepare($sql);
            $data=array();
            $data[]=$name;
            $data[]=$year;
            $data[]=$pass;
            $data[]=$mail;
            $stmt->execute($data);

            $sql='SELECT LAST_INSERT_ID()';
          	$stmt=$dbh->prepare($sql);
          	$stmt->execute();
          	$rec=$stmt->fetch(PDO::FETCH_ASSOC);
          	$code=$rec['LAST_INSERT_ID()'];
            $sql='UNLOCK TABLES';

            header('Location:../mypage/mypage.php?code='.$code);
      }
      catch (\Exception $e)
      {
            var_dump($e);
            print 'ただいま障害によりご迷惑をおかけしております。';
            print '<form action="registration.html" method="post">';
            print '<input type="submit" value="戻る">';
            print '</form>';
            exit();
      }

--
-- テーブルの構造 `member`
--

CREATE TABLE IF NOT EXISTS `member` (
  `code` int(11) NOT NULL AUTO_INCREMENT,
  `name` varchar(100) NOT NULL,
  `year` varchar(100) NOT NULL,
  `pass` varchar(100) NOT NULL,
  `mail` varchar(100) NOT NULL,
  PRIMARY KEY (`code`)
) ENGINE=InnoDB  DEFAULT CHARSET=utf8 AUTO_INCREMENT=3 ;

--
-- テーブルのデータのダンプ `member`
--

INSERT INTO `member` (`code`, `name`, `year`, `pass`, `mail`) VALUES
(1, ''tetemalu'', ''1'', ''47bce5c74f589f4867dbd57e9ca9f808'', ''[e-mail]''),
(2, ''tetemalu'', ''1'', ''47bce5c74f589f4867dbd57e9ca9f808'', ''[e-mail]'');

Comments

[68user]

cahrset を charset になおしたらどうなりますか?
mysql コマンドで直接 insert したらどうなりますか?

[tetejiro]

ご回答ありがとうございます。
charset=utf8に修正してみましたが、そのままでした。
insert文で直接挿入すると、文字化けしませんでした。

Answer 1

sanitizeがおかしいのだと思います。
DBへの投入については、なるべく生データを利用するのが原則です
へんなサニタイズは弊害が多いのでやめましょう
（バリデートで引っかかったらfalseを返すくらいが丁度いい）

Comments

[yambejp]

バリデート処理
$name=filter_input(INPUT_POST,'name');
$year=filter_input(INPUT_POST,'year',FILTER_VALIDATE_INT);
$pass=filter_input(INPUT_POST,'pass');
$mail=filter_input(INPUT_POST,'mail',FILTER_VALIDATE_EMAIL);

[tetejiro]

ご回答ありがとうございます。
ご指摘の通り、sanitizeが原因のようでした。
DBへ挿入する際は、サニタイズするにもその内容には気を付けなければならないのですね。
今回の件で痛い目を見たので、今後はバリデート処理を使用していきたいと思います。
改めまして、ご回答ありがとうございました。

[yambejp]

回答欄にもかきましたが、DBにはユーザーから受け取ったデータを
そのまま保持するのが原則だということだけ覚えておいて下さい
エスケープ処理はDBにとっては検索性も落ちる無用の長物ということ

ただし、たとえば一定の禁止ワードをサニタイズしたりすることは
運用上必要かもしれません

Answer 2

文字化けではないです。
'はそのまま検索キーワードとして投入すればわかりますが、アポストロフィ
ちょうどリクエストされたと思わしき文字列を囲うように配置されていることから、
sanitize()で無駄なことやってるのでは。

パラメータでバインドすればSQL的なエスケープと型にあわせたデータのセットはやってくれますので手動でシングルクォートを追加する必要はなく（その効果とも言えるが）、
DBに登録する際に加工してはいけません。

Comments

[tetejiro]

前回に引き続き回答いただいてありがとうございます。

sanitize()では、エスケープ処理をしていました。
その前のpostで送る際にシングルクォーテーションを付けてしまっていたのが、エスケープ処理されていたようです。

＞sanitize()で無駄なことをやっているのでは、
というお言葉で気づくことができました。かなり悩んでいたので、本当にうれしいです。
ありがとうございました。

的確なご回答をありがとうございました。

[m.ts10806]

何を参考に書いたものか分かりませんが、まずい実装になってるのは間違いないので参考先の変更を強くすすめます。
考えかたは下記が参考になるかと。
https://qiita.com/rana_kualu/items/11cd41de5f0364ba2ee8

[tetejiro]

わかりました。参考書籍については、再度違うものを検討します。
まずい実装になっているんですね。自分では気付きませんでした。
教えていただいたサイトも見てみます。
重ね重ね、ありがとうございます。