php上のSQL文のシングルクオテーションのネストについて

Question

$stmt = $pdo->query('INSERT INTO product(
	data_no,
	data_size,
	data_num
	)VALUES(
	$_POST['data_no'],
	$_POST['data_size'],
	$_POST['data_num']
	)'
);

php上でSQL文をやりたいのですが、文法エラーになってしまいます。

'をエスケープするには'をしてエスケープしシングルクオテーションにすることは
知っているのですが、複雑なネストだとうまくできません。
（ダブルクオテーションだと簡単なのですが、書き方のルールでシングルで作る必要があります）

記載例とできれば、申し訳ないのですが、一行でいいのでわかりやすく解説していただきますと大変ありがたいです。

Answer 1

「どう生成するか」という以前に、$_POST変数をそのままSQL文に組み立てるようなことはしてはいけません。SQLインジェクションの原因となります。

PDOなので、予めprepareしてからexecuteで値をはめ込みましょう。

$stmt = $pdo->prepare('INSERT INTO product(
    data_no,
    data_size,
    data_num
    )VALUES(?, ?, ?)');

$stmt->execute([$_POST['data_no'], $_POST['data_size'], $_POST['data_num']]);

Answer 2

クオートについての回答は既に出ているようなので、別の方法の提示を。

SQL文をそのまま使うとエスケープ等も面倒になりますし、プリペアードステートメントを使うと良いかと思います。

$sth = $dbh->prepare('INSERT INTO product(
    data_no,
    data_size,
    data_num
    )VALUES(
    ?,
    ?,
    ?)'
    :data_no,
    $_POST['data_size'],
    $_POST['data_num']
    )');
    $sth->execute(array('data_no' => $_POST['data_no'], '));

Comments

[yoshipu]

この書き方も試したのですが、うまくいきませんでした。
こんな風に使えばいいというすごく重要な見本になりました。
ありがとうございました。

Answer 3

'INSERT INTO product(
    data_no,
    data_size,
    data_num
    )VALUES(
    '.
    $_POST['data_no'].','.
    $_POST['data_size'].','.
    $_POST['data_num'].'
    )'

ダブルクオーツやsprintfなどつかわなずあくまでシングルクオーツという事であれば、変数の展開もされないといけないので上記のように連結する方法ですね。

Comments

[yoshipu]

みなさんたくさんのアドバイスありがとうございます。
ベストアンサーを選ぶにあたり、一番リクエストに近かった方をベストアンサーにさせていただきました。
わたくしの主観ですのでご了承ください。

Answer 4

無理せず分けるのはどうでしょうか。一旦sprintfで落とすと。

$sql = sprintf("INSERT INTO product(
    data_no,
    data_size,
    data_num
    )VALUES(
    %s,%s,%s)",
    $_POST['data_no'],
    $_POST['data_size'],
    $_POST['data_num']
    );

$stmt = $pdo->query($sql);

Answer 5

シングルで囲むと変数は展開されません。
なので次のように分割して結合することになるのでは。

$stmt = $pdo->query('INSERT INTO product(
    data_no,
    data_size,
    data_num
    )VALUES(' .
    $_POST['data_no'] . "," 
    $_POST['data_size'] . "," 
    $_POST['data_num'] .
    ')'
);

Answer 6

SQLでは文字列中のシングルクォーティーションはシングルクォーティーションを2つ続けて書きます。