INSERTが動かないのはなぜ？

Question

前提・実現したいこと

下のようなコードで、JSONデータをINSERTでDB内のlarge_areaテーブルに入れ、そこからSELECTを用いて入れたlarge_areaテーブルのデータを取り出すという実装をしている。

// JSONを持ってくる
$filename = "sample.json";
$file = file_get_contents($filename);
$prevention = mb_convert_encoding($file, 'UTF8', 'ASCII,JIS,UTF-8,EUC-JP,SJIS-WIN');
$json = json_decode($prevention, true);

//PHPからMySQLへ接続
//DB接続
$user = 'user';
$pass = 'pass';
$db = 'mzn';
$host = 'mzn_db';

try {
  // MySQLへの接続
  $dbh = new PDO(sprintf('mysql:dbname=%s;host=%s;charset=utf8', $db, $host), $user, $pass);
} catch (PDOException $e) {  // PDOExceptionをキャッチ
  print "エラー:" . $e->getMessage() . "<br/gt;"; // PDO:execute(実行) prepareでパラメータ化した部分に具体的な値を結びつける(バインド)

  // DB接続を解除
  $dbh = null;
}

// 3. 地方ごとの県を表示
foreach($json as $key => $val){
  foreach($json[0] as $val => $value){
    $name = $value["name"];
    $id = $value["id"];
    $sql = "INSERT INTO large_area(prefeture_name, prefecture_id) VALUES ($name,$id)"; 
    $stmt = $dbh->prepare($sql);

  $records = $dbh->query("SELECT * FROM large_area");
  while($record = $records->fetch()){
    echo "<pre>";
    echo $record["prefecture_name"] . " : " . $record["name"];
  } 
};
};

発生している問題・エラーメッセージ

INSERTでDB内のlarge_areaテーブルに入れる過程がうまくいかない。
本来であれば、下の画像のprefeture_nameに都道府県、prefecture_idにidが並ぶはずであるが、入らない。（「test1」「test2」等の既に入っているものはSELECT部分の稼働テスト時に直接手入力で入れたもの）

考えられること

var_dumpを各所に差し込んでみたところ、

$sql = "INSERT INTO large_area(prefeture_name, prefecture_id) VALUES ($name,$id)"; 

の後に差し込むとブラウザ上で

string(75) "INSERT INTO large_area(prefeture_name, prefecture_id) VALUES (北海道,01)"
test1 : test1
test2 : test2
 : 
 : 
 : 
 : 
 : 
 : 
 : 

となり、$name,$idまではJSONコードから処理が流れてきていることは分かり、その後の

$stmt = $dbh->prepare($sql);

の後に差し込むとブラウザ上で

object(PDOStatement)#2 (1) {
  ["queryString"]=>
  string(75) "INSERT INTO large_area(prefeture_name, prefecture_id) VALUES (北海道,01)"
}
test1 : test1
test2 : test2
 : 
 : 
 : 
 : 
 : 
 : 
 : 

となったので

$sql = "INSERT INTO large_area(prefeture_name, prefecture_id) VALUES ($name,$id)"; 
$stmt = $dbh->prepare($sql);

の何かに原因があると考えられる。

どなたかご教授いただけないでしょうか？よろしくお願いいたします。

Answer 1

$sql = "INSERT INTO large_area(prefeture_name, prefecture_id) VALUES ($name,$id)";

がまずいですね

 $sql = "INSERT INTO large_area(prefeture_name, prefecture_id) VALUES (?,?)"; 
 $stmt = $dbh->prepare($sql);
 $stmt->execute([$name,$id]);

みたいな感じでしょうか？

Answer 2

文字列をSQLで扱う場合はクォーテーションで囲う必要があります。
PHPからのセットではなく、SQL文字列そのものが問題です。
どういう問題が起きているか不明なのはtry-catchでSQL実行時に例外処理をしていないからです。

ただ、DB直ではなく、何らかのプログラミング言語から利用する場合、
外部からの情報を受け入れる際はSQLインジェクションの脆弱性があるので、
SQLのエスケープ対応をするか、パラメータ→バインドでエスケープ対応込みで値をセットする対応をとってください。

PHPでデータベースに接続するときのまとめ#"SELECT * FROM users WHERE id = '$id'" のように変数展開を使ってSQL文を組み立てている

ただ、質問者さんのコードをよく見ると
PDO:execute(実行) prepareでパラメータ化した部分に具体的な値を結びつける(バインド)
とコメントで書かれてますね。
まさにこのことです。