PHPを使用し、DB検索してif処理を行う方法。

Question

テーブル名：parering
カラム名：Active(INT),Pass(TEXT)

Web接続した際にパラメータから数値を取得し、
その数値がPassと重複していない
もしくは重複しているが、Activeの値が1ではない場合
データ登録を行う処理を行いたいのですが、データはない状態でも分岐をうまく行うことができません。
コードに誤りがあれば教えていただければ幸いです。

よろしくお願いいたします。

		$b =$_GET['b'];
        try {
			//コネクション
            $pdo = new PDO(
                "mysql:host=". $server.";dbname=".$database.";charset=".$echarset,$user,$pass,
                [PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
            	 PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
				]);
			$sql = "SELECT * FROM parering WHERE Pass = {$b} AND Active = 1";
			if($pdo->query($sql)){
				echo "No";
			}else{
				//保存
				$sql2 = "INSERT INTO parering (Pass,Active) VALUES ('{$b}',1)";
				$res = $pdo->query($sq2l);
				echo "OK";
				}
        } catch (PDOException $e) {
            echo('Error:'.$e->getMessage());
            die();
        }
    }

No

Comments

[退会済みユーザー]

思いっきりSQLインジェクションなのでまともな本などで正しい使い方を学習するのが先。

[FKM]

どこから突っ込んでいいのやら…。$pdo->queryはあくまで問い合わせ照会している段階です。
SQLインジェクションとかもそうですが、もっと真面目にPDOを一から勉強すべきですね。

[ToaZI]

ありがとうございます。
SQLインジェクションなど勉強してきます。

[m.ts10806]

何かしら出力するコードでtry-catchできちんとエラー出力してるのに、何が起きてるのか出力されてるのか確認すらしてないということですか？

[hentaiman]

phpマニュアルにサンプルコードいっぱいあるからコピペして使いながら学習してみては？

Answer 1

回答じゃないです。
PDO はマニュアル見ただけじゃ理解できないんですよねぇ。。。
以下参考まで。
PHP で MySQL 接続時に必要な知識(最小限版)

Comments

[ToaZI]

ありがとうございます。
拝見させていただきました。
質問の修正依頼等にSQLインジェクションについてご指摘いただきましたが、調べてみても全く分からず
記事を拝見させていただき、ようやく大まかな理解をすることができました。
わかりやすくまとめていただきありがとうございます。
今後ともよろしくお願いいたします。

Answer 2

$b =filter_input(INPUT_GET,'b');
$dsn = 'mysql:host=localhost; dbname=test1;charset=utf8;';
$user = 'root';
$password = 'root';
try {
  $pdo = new PDO($dsn, $user,$password);
  $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); 
  $pdo->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);
  $sql = "SELECT count(*) as cnt FROM parering WHERE Pass = ? AND Active = 1";
  $data=[$b];
  $stmt = $pdo->prepare($sql);
  $stmt->execute($data);
  $rows=$stmt->fetch();
  if($rows["cnt"]>0){
    echo "No";
  }else{
    $sql = "INSERT INTO parering (Pass,Active) VALUES (?,1)";
    $stmt = $pdo->prepare($sql);
    $stmt->execute($data);
    echo "OK";
  }
}catch(PDOException $e) {
  die('Error:'.$e->getMessage());
}

Comments

[yambejp]

こういうのはprogram側で処理するのではなくテーブルに
Passと Activeの組み合わせでunique属性をつけておいて
insert ignore intoするものです

[ToaZI]

ありがとうございます。
テーブル側の処理も必要なのですね。
とても勉強になります。