mySqlでカラムの指定ができない。

Question

前提・実現したいこと

XAMPP環境+PHPを使ったコーディングの学習をしています。

sub_genre =　$_POST['sub_genre']
と書いた場合、カラム名sub_genreの値が$_POST['sub_genre']のデータに該当するものを引っ張ってきてくれると想定したのですが、
なぜか$_POST['sub_genre']のカラム名を検索してしまいエラーが発生します。
なぜでしょうか？

記述したコード

$sql = "SELECT * FROM genre WHERE genre_parent =". $_POST['genre'] . " AND sub_genre =" . $_POST['sub_genre'];
var_dump('クエリー確認：'.$sql);

$sth = $dbh -> query($sql);
$aryList = $sth -> fetchAll(PDO::FETCH_ASSOC);
var_dump($aryList);

ブラウザの表示結果

string(97) "クエリー確認：SELECT * FROM genre WHERE genre_parent =100002 AND sub_genre =HorrorSuspense"
Fatal error: Uncaught PDOException: SQLSTATE[42S22]: Column not found: 1054 Unknown column 'HorrorSuspense' in 'where clause' in C:\xampp\htdocs\

Answer 1

SELECT * FROM genre WHERE genre_parent =100002 AND sub_genre ='HorrorSuspense'

とならないとエラーです
なお、インジェクション対策するの忘れないで

Comments

[minatonn]

ご回答ありがとうございます！
１点質問なのですが、
sub_genre =HorrorSuspense
はどのような挙動を意味するのでしょうか？

ご指摘の通り、
インジェクション対策については修正したいと思います！

Answer 2

sub_genre =" . $_POST['sub_genre']

$_POST['sub_genre']がHorrorSuspenseだった場合
sub_genre =HorrorSuspense になるので当然です。
生SQLであれば
sub_genre ='HorrorSuspense'
となるように文字列として囲む必要があります

しかし・・・

POSTで受け取った値を生のSQLに書いてはいけません
かならずprepareでプレースホルダーを利用ください
sub_genre = ?

のような処理です。

Comments

[minatonn]

ご回答ありがとうございます！
１点質問なのですが、
sub_genre =HorrorSuspense
はどのような挙動を意味するのでしょうか？

プレースホルダーですね！
ここは修正したいと思います！

[退会済みユーザー]

HorrorSuspenseという列です

[yambejp]

生のSQLで''で囲んでない文字列はカラム名や数式として
チャレンジされます。
なにぶん生のSQLなので関数なども埋め込めてしまうので
きわめて危険な処理です

[minatonn]

yambejpさん
なるほど！
それでHorrorSuspenseのカラム名でINSERTされてしまったのですね！
ご回答いただきありがとうございました！