$stmt->fetch(PDO::FETCH_ASSOC);がうまく動作しない

Question

前提・実現したいこと

現在PHPでログイン機能を作っています。

$rec = $stmt->fetch(PDO::FETCH_ASSOC);

上記のコードがうまく動作しないため、$recが空っぽにのままで、ログイン機能をうまく作れません。

###試したこと
そもそも、データがないのかと思い、具体的な数字を記述したところ、ログインできました。（「code=?」ではなく、「code=8」と具体な数を入れたときはうまくいきました。具体的な数とは、データベースに存在する会員一人一人に割り当てた、コード番号のことです。今回の場合は、1～8のうち8を使いました。）

さらに、データベースを見たところ、ログインする際に使ったログイン名とパスワードは、指定したデータベースの正しいテーブルにしっかりありました。

≪うまくいったときのコード≫

$sql = 'SELECT name FROM mst_staff WHERE code=8'; //このように具体的な数を入れた
      $stmt = $dbh->prepare($sql);
      $data[] = $staff_code;
      // $data[] = $staff_pass;
      $stmt -> execute($data);

該当のソースコード

// $stmtから1レコード取り出している
      $rec = $stmt->fetch(PDO::FETCH_ASSOC);

ソースコード全部

※どこまで実行できたか確かめるため、要所要所printを差し込んでいます。

<?php

// try
// {

      $staff_code = $_POST['code'];
      $staff_pass = $_POST['pass'];

print $staff_code.'<br />';
print $staff_pass.'<br />';

      $staff_code = htmlspecialchars($staff_code, ENT_QUOTES, 'UTF-8');
      $staff_pass = htmlspecialchars($staff_pass, ENT_QUOTES, 'UTF-8');

print $staff_code.'<br />';
print $staff_pass.'<br />';

      $staff_pass = md5($staff_pass);

      $dsn = 'mysql:dbname=shop;host=127.0.0.1;charset=utf8';
      $user = '--省略--';
      $password = '--省略--';
      $dbh = new PDO($dsn, $user, $password); // データベースに接続する
      $dbh -> setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION);//エラーの通知とその種類

print 'ここまでOK 1 <br />';

      $sql = 'SELECT name FROM mst_staff WHERE code=? AND password=?';
      $stmt = $dbh->prepare($sql);
      $data[] = $staff_code;
      $data[] = $staff_pass;
      $stmt -> execute($data);

      //データベース切断
      $dbh = null;

      // $stmtから1レコード取り出している
      $rec = $stmt->fetch(PDO::FETCH_ASSOC);

print 'ここまでOK 2 <br />';

//$recの中身の有無の確認
print '$rec = '.$rec.'<br />';

      if( $rec == false ) //もしデータがなければ
      {
            print'<br />';
            print'スタッフコードかパスワードが間違っています。<br />';
            print'<a href="staff_login.html">戻る</a>';
      }
      else
      {
            header('Location: staff_top.php');
            exit();
      }

//}
// catch(Exception $e)
// {
//       print'ただいま障害により大変ご迷惑をお掛けしています。';
//       exit();
// }

?>

出力画面

タユ
aaaaaaaa
タユ
aaaaaaaa
ここまでOK 1
ここまでOK 2
$rec =   //←　こんな感じで空っぽ

スタッフコードかパスワードが間違っています。

Comments

[m.ts10806]

データがなくてもSQLが正常終了すればtrueを返すはずです。
https://www.php.net/manual/ja/pdostatement.fetch.php

Answer 1

「code=8」→「code=?」では？
（長い方のソースには?で設定してありますが実際にはどう試したのでしょうか？）
ただし$staff_codeが存在するデータのものかはわかりません。

それと

$staff_code = htmlspecialchars($staff_code, ENT_QUOTES, 'UTF-8');

はNGです。
変換した文字とデータベース上の文字をくらべてはいけません
（実質codeに使うような文字列はエスケープしても変更はないかもしれませんが）

今回は関係ありませんがエラーモード設定しているのであればtry-catchするのが普通です

Comments

[OHASI]

丁寧な解説ありがとうございました。

Answer 2

もしかして、
print '$rec = '.$rec.'<br />';
で表示されなかったから name が取得できていないと判断していますか？

PHP: PDOStatement::fetch - Manual を改めて読んでほしいのですが、
正しく取得できていればアクセスするためには
print '$rec = '.$rec['name'].'<br />';
とする必要があるかと思います。
1行のデータを配列で返しているかと思いますので。

あと余談ですが、フォーム入力したパスワード文字列をそのままデータベースに保持するやり方はやめましょう。
PHP: password_hash - Manual でハッシュ化したものをデータベースに保存し、
一致の検証は PHP: password_verify - Manual を使えばよいかと思います。

もう一つ、yambejpさんも指摘されておりますが、
html表示する際にhtmlだと解釈されないようにするために加工する
htmlspecialchars()で加工後の文字列をデータベースに保存するのはやめましょう。
いわゆるh関数を作っておけば不要です。
参考：PHP で h() を書くなら一緒に echo しよう。 - こせきの技術日記

try～catchのやり方は、こちらをお読みください：
PHPでデータベースに接続するときのまとめ - Qiita

Comments

[OHASI]

詳しい解説とアドバイスをありがとうございました。