PHP SQL データベース接続

Question

PHPのSQL文についてわからないところがあります。

		$result = $pdo->prepare('update words set word=?, sense=?, memo=? where id=?');
		$result -> execute(array(h($_POST['word']),h($_POST['sense']),h($_POST['memo']),$_POST['id']));

なんで変数($result)にわざわざ代入するのでしょうか。
意味が解りません。

<?php
function h($str) {
	return htmlspecialchars($str);
}
//PDO()コンストラクタ インスタンス初期化
$pdo = new PDO('mysql:host=localhost;dbname=takahashi1;charset=utf8', 'takahashi', 'takahashi' );
// もし修正ボタンが押されたら
if ($_POST ['button4']) {
	foreach ( $pdo->query ('select * from words order by id desc') as $row ) {
		echo '<tr>';
		echo '<form action="" method = "post">';
		echo '<input type="hidden" name="command" value="update">';
		echo '<input type="hidden" name="id" value="', $row ['id'], '">';
// 		echo '<td>', $row ['id'], '</td>';
		echo '<td>';
		echo '<input type="text" name="word" size="10" value="', $row ['word'], '">';
		echo '</td>';
		echo '<td>';
		echo '<input type="text" name="sense" size="40" value="', $row ['sense'], '">';
		echo '</td>';
		echo '<td>';
		echo '<input type="text" name="memo" size="20" value="', $row ['memo'], '">';
		echo '</td>';
		echo '<td><button type="submit" style="border: 1px solid #ff44ff; color: #ee00ff; background-color: #eeccff;">更新</button></td>';
		echo '</form>';
		echo '<form action="" method="post">';
		echo '<input type="hidden" name="command" value="delete">';
		echo '<input type="hidden" name="id" value="', $row ['id'], '">';
		echo '<td><button type="submit" style="border: 1px solid #ff44ff; color: #ee00ff; background-color: #eeccff;">削除</button></td>';
		echo '</form>';
		echo '</tr>';
		echo "\n";

	}
}
if(isset($_POST['command']) || !$_POST){
	switch($_POST['command']){
	case 'update':
		//PDOのインスタンスを代入した変数$pdoを指定することでPDOクラスに用意された機能が利用可能になる
		$result = $pdo->prepare('update words set word=?, sense=?, memo=? where id=?');
		$result -> execute(array(h($_POST['word']),h($_POST['sense']),h($_POST['memo']),$_POST['id']));
		break;
	case 'delete':
		$result = $pdo->prepare('delete from words where id=?');
		$result->execute(array($_POST['id']));
		break;
	case 'insert':
		$result = $pdo->prepare('insert into words values(null,?,?,?)');
		$result->execute(array(h($_POST['word']),h($_POST['sense']),h($_POST['memo'])));
		break;
	case 'listDisplay':
		break;
	case 'search':
		$vKeyword = isset($_POST['keyword'])?$_POST['keyword'] : '';
		$result = $pdo->prepare('select * from words where word like ? or sense like ? or memo like ?');
		$result->execute(array(
				'%' . $vKeyword . '%',
				'%' . $vKeyword . '%',
				'%' . $vKeyword . '%'
		) );
		break;
	}
	if(!$_POST['command'] == 'search'){
		$result = $pdo->query('select * from words order by id desc');
	}
	foreach ($result->fetchAll() as $row){
		echo '<tr>';
		//      echo '<td width="30"  height="35" align="center" width="110" height="35">', h($row['id']), '</td>';
		echo '<td class="font3"><b>', h($row['word']), '</b></td>';
		echo '<td width="150" class="font3">', h($row['sense']), '</td>';
		echo '<td width="150" class="font3">', h($row['memo']), '</td>';
		echo '</tr>';
		echo "\n";
		}
}
?>

Answer 1

本来PDOExceptionがthrowされる設定にしていない場合は
以下のように prepare()の戻り値でエラー判定を行うべきです。

(php.net)PDO::prepare #返り値

もしデータベースサーバーが正常に文を準備する場合、 PDO::prepare() は PDOStatement オブジェクトを返します。 もしデータベースサーバーが文を準備できなかった場合、 PDO::prepare() は FALSE を返すか PDOException を発行します (エラー処理 の方法に依存します)。

$result = $pdo->prepare('update words set word=?, sense=?, memo=? where id=?');
if ($result) {
    $result->execute(array(h($_POST['word']),h($_POST['sense']),h($_POST['memo']),$_POST['id']));
}

また、以下のように一度$resultに受けておくと同じSQLで複数execute()したい場合にも対応可能です。

$result = $pdo->prepare('update words set word=?, sense=?, memo=? where id=?');
if ($result) {
    $result->execute(array(h($_POST['word']),h($_POST['sense']),h($_POST['memo']),$_POST['id']));
    $result->execute(/* ...略... */);
}

PDOExceptionがthrowされる設定でかつexecute()が1回のみであれば1行に書いても動作上は問題ありません。
※1行の記述が長くなるので私は一度$resultに受けます。

$pdo->prepare('update words set word=?, sense=?, memo=? where id=?')->execute(array(h($_POST['word']),h($_POST['sense']),h($_POST['memo']),$_POST['id']));

Answer 2

変数($result)にわざわざ代入する

マニュアル参照
ここでいう$resultはPDOStatementです。
ステートメントのexecuteメソッドを実行しているだけです。
なおDB登録時にはなるべく生データを入れたほうがいいので
h()をかませないほうがいいですね
h()が必要になるのはhtmlへの出力時です。

Comments

[marimokomokmOk]

ありがとうございます。