PHP でMysqlの呼び出し

Question

    if(isset($_POST['login'])){
         $loginname=$_POST['login'];
         $loginpass=$_POST['pass'];
 
         $q="SELECT * FROM users WHERE name=mysql_escape_string($loginname) AND password=mysql_escape_string($loginpass)";
         $rr=mysql_query($con,$q);

         echo htmlspecialchars($rr['name'],ENT_QUOTES,'UTF-8');
         mysql_close($con);
    }

上の処理をして、受け取った値をコンソールログに出力しているのですが、空白が出力されるだけでして、うまくいきません。
データベースの値なども確認し、ちゃんと同じものが有る事を確認しているのですが、、

Queryの書き方が違うのかと思い

 $q="SELECT * FROM users WHERE name="+ mysql_escape_string($loginname)+"AND password= "+mysql_escape_string($loginpass);
       

としても、出力される値は空白文字です。

Answer 1

まぁ最低限

• 文字列の連結は「.」にする
• 文字列のSQL文への記載はクォーテーションでくくる
• クエリーを実行するときはクエリー文が先（コネクションが先なのはmsqli関数？）
• 結果を取り出すにはfetch処理が必要

$q= "SELECT * FROM users WHERE 1 ";
$q.="AND name='".mysql_real_escape_string($loginname)."' ";
$q.="AND password='".mysql_real_escape_string($loginpass)."' ";

$res=mysql_query($q,$Link) or die(mysql_error());
while($rows = mysql_fetch_array($res,MYSQL_ASSOC)){

}

それと、ある程度わかっている前提でmysql_関数は使ってはいけない
使う場合は自己責任で、トラブルの際には自己解決できるスキルをみにてうけてください

Comments

[seri]

回答ありがとうございます。

それと、ある程度わかっている前提でmysql_関数は使ってはいけない
使う場合は自己責任で、トラブルの際には自己解決できるスキルをみにてうけてください

とのことですが、そのためにセキュリティの勉強をしています、そこでそういった事を言われても、気持ちが悪いだけです・・なにか特別な意味があるのでしたら言ってください。

Answer 2

mysql_queryのあと、もう一手順必要です。
返却されるのは結果のリソースなので、そこから１レコードずつ取得しなければいけません（いわゆるフェッチ）
マニュアルを見ればわかりますが、基本的にはこんな感じになるかと思います。

$q = "SELECT * FROM users WHERE name=mysql_escape_string($loginname) AND password=mysql_escape_string($loginpass)";
$rr = mysql_query($con,$q);
while ($row = mysql_fetch_assoc($rr)) {
    echo $row['name'];
}

やり方はいくつかあると思いますが、基本形のみ紹介させていただきました。