ＳＱＬ文で２つめのプレースホルダーが使えない

Question

下記のLIMITのところは元々は手動で１５に設定していました。
（とりあえずテストのため）

例えば、賃貸住宅サイトの物件検索ページがあったとします。
表示件数をセレクトボッスクで選択してその値を下記のようにLIMITのプレースホルダーに割り当てたいのでですがどうもうまくいきません。

$sql = "
SELECT
a.`id`,
a.`title`,
a.`area`,
a.`buildingtype`,
a.`floorplan`,
a.`rento`,
a.`deposit`,
a.`keymoney`,
a.`body`,
a.`created`,
a.`modified`,
c.`companyName`
FROM articles a
INNER JOIN users u ON a.`user_id` = u.`id`
INNER JOIN companys c ON u.`company_id`= c.`id`
WHERE title LIKE ?
LIMIT ?
";

$search = htmlspecialchars('%'.filter_input(INPUT_GET,"searchs").'%');
$shredded = htmlspecialchars(filter_input(INPUT_GET,"shredded"));

$bodys = $pdo->prepare($sql);
$bodys->execute([
$search,
$shredded
]);

下の２つも試しましたがどうもうまくいきません。
解決策となにがいけないのかを教えていただけないでしょうか。

WHERE title LIKE ?
LIMIT ?
";

$search = htmlspecialchars('%'.filter_input(INPUT_GET,"searchs").'%');
$shredded = htmlspecialchars(filter_input(INPUT_GET,"shredded"));

$bodys = $pdo->prepare($sql);
$bodys = bindValue(1, $search, PDO::PARAM_STR);
$bodys = bindValue(2, $shredded, PDO::PARAM_INT);
$bodys->execute();

WHERE title LIKE :search
LIMIT :shredded
";

$search = htmlspecialchars('%'.filter_input(INPUT_GET,"searchs").'%');
$shredded = htmlspecialchars(filter_input(INPUT_GET,"shredded"));

$bodys = $pdo->prepare($sql);
$bodys = bindValue(':search', $search, PDO::PARAM_STR);
$bodys = bindValue(':shredded', $shredded, PDO::PARAM_INT);
$bodys->execute();

Answer 1

$bodys = bindValue(

$bodys->bindValue(
ではないのでしょうか？
ただのtypoですか?

ちなみにSQLにデータを渡すときはhtmlspecialchars()しなくて良いと思います

まぁPDOあるあるとしてLIMIT句はINT限定でめんどうなので
$shredded = filter_input(INPUT_GET,"shredded",FILTER_VALIDATE_INT,["options"=>["default"=>0]]);
のようにして、INTのバリデートをした上で
$sql = sprintf("SELECT ・・・ LIMIT %s",$shredded);
のように最初から埋め込んでしまう手もあります

#追記
sprintfの「%s」は「%d」の方がより直感的かもしれないですね
まぁバリデートしているので%sでも十分なんですが

Comments

[earnest_gay]

前にも似たようなことをしたような...
ありがとうございます！

[earnest_gay]

ちなみにGET送信なのでhtmlspcialcharsやっておかないとＸＳＳ無害化できないんじゃないんですか？

[yambejp]

htmlspecialchars()は、HTMLで出力される時のセキュリティ処理ですから
SQLで検索をかけるときに余計なことをすると値がマッチしない可能性があります

[earnest_gay]

HTMLで入力を受けつけるときと思っていました。

HTMLで出力される時、ですね。
ありがとうございます。

Answer 2

WHERE title LIKE :search
LIMIT :shredded;
";

$search = htmlspecialchars('%'.filter_input(INPUT_GET,"searchs").'%');
$shredded = (INT)htmlspecialchars(filter_input(INPUT_GET,"shredded"));

$bodys = $pdo->prepare($sql);
$bodys -> bindValue(":search",$search,PDO::PARAM_STR);
$bodys -> bindValue(":shredded",$shredded,PDO::PARAM_INT);
$bodys -> execute();

http://matty-studio.jp/post-35/