データベースにデータを登録する

Question

##データべースにデータを登録したい

PHPで以下のサイト（https://gray-code.com/php/make-the-board-vol1/）を参考にしながら一言掲示板を作っています。
データベースにデータの登録をするときに問題が発生し、データの登録が正常にできませんでした。
サイト等で検索したところquery部分に問題があることは分かったのですが、それに対してどのように対処すれば良いかわかりませんでした。
解決策のご教示をお願します。

phpmyadminには以下のエラーメッセージが発生しました。

返り値が空でした (行数 0)。 (クエリの実行時間： 0.0002 秒。)

該当のエラーコード

if (empty($error_message)) {


    //データベースに接続
    $mysqli = new mysqli('localhost','root','root','board');

    //接続エラーの確認
    if ($mysqli->connect_errno) {
      $error_message[] = '書き込みに失敗しました。エラー番号'.$mysqli->connect_errno.':'.$mysqli->connect_error;
    }else {

  			// 文字コード設定
  			$mysqli->set_charset('utf8');

  			// 書き込み日時を取得
  			$now_date = date("Y-m-d H:i:s");

  			// データを登録するSQL作成
  			$sql = "INSERT INTO message (view_name, message, post_date) VALUES ( '$clean[view_name]', '$clean[message]', '$now_date')";

  			// データを登録
        //問題あり？
  			$res = $mysqli->query($sql);

  			if( $res ) {
  				$success_message = 'メッセージを書き込みました。';
  			} else {
  				$error_message[] = '書き込みに失敗しました。';
  			}

  			// データベースの接続を閉じる
  			$mysqli->close();
    }
    }

試したこと> 引用テキスト

データベースへの接続、接続エラーの確認（elseより前のコード）までは問題なく動作することは確認しました。
その他綴り間違い等はありませんでした。

補足情報（FW/ツールのバージョンなど）

Mac (M1)
MAMP

Comments

[m.ts10806]

エラーハンドリングして詳細取得するかサーバーのエラーログ確認してください。

[Y.H.]

$sql に代入したSQL文を質問に追記ください。
saitopさんが実行したいSQL文になっているか var_dump($sql); とかで表示して確認しましょう。

[m.ts10806]

＞返り値が空でした
エラーではないです。SELECT結果で0件だっただけです。

Answer 1

$clean[view_name]じゃなくて$clean['view_name']って表記するんだけど、
$sqlに代入する場面でそれをやっちゃうと大変なことになるので、
悪いことは言わないからプリペアードステートメントのやり方を覚えてください。

$sql = "INSERT INTO message (view_name, message, post_date) VALUES ( ?, ?, now)";
$stmt = $mysqli->prepare($sql);
$stmt->bind_param('ss', $clean['view_name'], $clean['message']);
$stmt->execute();
$res = $stmt->get_result();

みたいな。（あくまで机上のコードで動作させてない。デバッグよろしく）

---

ざっと一連の教材を見てみましたが、
フォーム入力のサニタイズをしてない、
本来HTML表示用にのみ使うべきhtmlspecialchars()で加工した値をDB保存用に使ってしまう悪手、
SQLインジェクション対策してない、トランザクション処理してない、
PHPに慣れるためだとしても脆弱性対策するやり方を別途学ばなきゃいけないことに
大変注意が必要です。

他の教材も探したほうがよろしいかと。
PDOじゃなくmysqliを使ってるとか他のデータベースを使うときに困るし。

Comments

[退会済みユーザー]

あと、昨今mysqliも使われなくて、PDOを使いましょうってなってる。
https://qiita.com/mpyw/items/b00b72c5c95aac573b71

[退会済みユーザー]

つまり、教材が時代遅れ。

[退会済みユーザー]

ご回答ありがとうございます。今から試してみます。

[退会済みユーザー]

BAはうまく行ってからね。同じ話題で別の質問とか起こされるとしんどいので。

Answer 2

query部分に問題があることは分かったのですが

$sqlをechoで出力し、出力された文字列をphpMyAdminで実行してみてください。
それでエラーなく終了し、想定のデータが登録されているならSQLは問題ないです。

あとは、エラーハンドリングしてください。
このコードだけでは各変数がどのように定義されたか不明ですし、
SQLだけでの正常動作が確認できてなければ、PHPから実行しても当然正常動作しません。

mysqli::$errorは確認する必要がありますが、「エラーハンドリング」としてはtry-catchによる例外処理が一般的で、必須です。
特にMySQLのようなPHPからすると外部の仕組みを利用するのであれば、外部で起きたエラー詳細はちゃんとハンドリングしないと確認できません（エラーログには出てるはずですが）
mysqli_sql_exception

デバッグもしてください。処理がどこまで通っているか。
どの分岐を通り、変数には何が入っているか。
はじめは定義をしている変数全てを確認するくらいがちょうど良いです。

あとmysqliよりPDOのほうが参考できる記事も多く組みやすいと思います。
PHPでデータベースに接続するときのまとめ

現在、SQLインジェクション対策（必須です）されてませんし、全部組み替えるくらいのほうが後々はいいかもしれません。

Comments

[退会済みユーザー]

PHP5時代のコンテンツの焼き直しっぽい、一連の教材なので、
そこで説明されてないことを求めても辛いのかもしれないなぁ。
（でも許さん）

[m.ts10806]

更新日時に騙されないようにするのは難しそうですね。表示するだけならなんでも出来ますから。
せめてインジェクションの意識は持ってもらいたいところ