phpを用いて対応するデータベースのレコードを表示したい

htmlのPOSTで受け取った値（数値）をphpを用いて検索すると、対応するデータベースのIDのレコードが表示されるものを作りたいと考えているのですが、数値として扱われずエラーと出力されてしまいます。
（例）テキストボックスに3と入力すると 3は実在しませんとエラー。
どうすれば正常に動作するかご教授よろしくお願いします。

html
1<!DOCTYPE html>
2<html>
3  <head>
4    <meta charset="utf-8">
5    <title>test</title>
6  </head>
7  <body>
8    <form action="test.php" method="POST">
9        <label for="my_ID">ID:</label>
10        <input type="text" id="my_ID" name="my_ID" style = "width: 100px;"maxlength="255" value="">
11        <input type="submit" value="選択">
12        <br><br>
13    </form>
14  </body>
15</html>

php
1<!DOCTYPE html>
2<html>
3  <head>
4    <meta charset="utf-8">
5    <title>test</title>
6  </head>
7  <body>
8    <?php
9
10    $ID = $_POST['my_ID'];
11    $sql = "SELECT * FROM my_items WHERE id = `$ID`";
12
13    echo '<font color="blue"=>実行結果</font><br>';
14    try{
15      $db = new PDO('mysql:dbname=mydb;host=127.0.0.1;charset=utf8','root','');
16    }
17    catch(PDOException $e)
18    {
19      echo 'DB接続エラー:'. $e->getMessage();
20    }
21
22    $records = $db->query($sql);
23
24    if($records == NULL)
25    {
26      echo "$ID は存在しません";
27    }
28    
29    else
30    {
31      while($record = $records->fetch())
32      {
33        print($record['item_name']."<br>");
34      }
35    }
36    ?>
37  </body>
38</html>
39

m.ts10806

2021/02/24 03:04

そのSQLは直に実行して想定の結果を得られることは確認されたのでしょうか

行動規範の内容に同意します

回答2件

まずは、phpMyAdminでもMySQLWorkBenchでもコマンドラインからのSQL実行でも何でも良いので、
理想的なSQLを確認してからPHPに組み込みましょう。

MySQLでは値をバッククォートで囲んではいけません。
（文字列ならシングルクォート、数値なら囲まない）

なので

PHP
1$sql = "SELECT * FROM my_items WHERE id = `$ID`";

↓

PHP
1$sql = "SELECT * FROM my_items WHERE id = $ID";

か

PHP
1$sql = "SELECT * FROM my_items WHERE id = '$ID'";
2

ですが、
このコードには致命的なSQLインジェクション脆弱性があるので実施してはいけません。

プリペアードステートメントと静的プレースホルダを使って安全なSQLの実行を行う必要があります。
PHPでデータベースに接続するときのまとめがとても参考になるので、一度しっかりと読んでみることをお勧めします。

投稿2021/02/24 03:10

編集2021/02/24 03:11

tanat

総合スコア18727

ベストアンサー

$sql = "SELECT * FROM my_items WHERE id = $ID";

mysqlはバッククオートでくくるとカラム名を指定することになります
それ以前にSQL文に変数をそのまま埋め込むのはNGです
prepareで指定して下さい

投稿2021/02/24 03:10

yambejp

総合スコア116688

yambejp

2021/02/24 03:13

$ID = filter_input(INPUT_POST,'my_ID'); $sql = "SELECT * FROM my_items WHERE id = ?"; $stmt = $db->prepare($sql); $stmt->execute([$ID]); $rows=$stmt->fetchAll(PDO::FETCH_ASSOC);

行動規範の内容に同意します

あなたの回答