入力フォームで入力された文字列を複数検索(AND,OR)以外は""で囲いたい

Question

###前提・実現したいこと
PHP(Laravel)で検索システムを実装しています。
入力フォームの文字列を一度整え、送信される際にANDやOR以外の検索キーワードに""で囲うようにしたいです。
(前提として ("キーワード"AND"キーワード") OR "キーワード" ) などと直接入力をすれば結果が返ってくる検索システムだとします。

###該当のソースコード

<form method="get">
  <input type="text" class="left bold" style="width: 200px;" name="keyword" value="{{ $character }}">
  <input type="submit" class="f_left radius_left bold" value="送信!">
</form>

SearchController.php
public function getSearch(){
	$query = Request::get('q');

        //入力される文字から""を外す
        $letters = str_replace('"', '', $query);

        //全角から半角に修正
        $character = str_replace(['（', '）', ' '], ['(', ')', ' '], $letters);

        //ここでPostするときに送られる文字列をAND OR NOT () 以外を""で囲いたいです。


//〜〜〜〜〜(略)POSTの処理〜〜〜〜〜

	return View::make('posts.index')->with('posts', $posts);
}

よろしくお願いします。

Comments

[退会済みユーザー]

要件自体が、セキュリティ的にまずくないですか？

[yuuuui]

セキュリティ的に問題がるとのことで、どのような問題があるのかお教え頂けますと勉強になりますのでもしよろしければよろしくお願いします。

[退会済みユーザー]

具体的にはSQLインジェクションです。

[yuuuui]

前提としている直接入力をすれば結果が返ってくる。というところに問題があるということですね。ありがとうございます。別の検索システムにしようと思います。

Answer 1

セキュリティに問題があるとのことでしたので別の検索システムを実装しようと思います。
ご指摘、ご回答いただいた方ありがとうございました。

Answer 2

僕自身初心者ですので、合っているかわかりませんが、(a and b)を("a" and "b")にするという意味であっていれば、変数$aを用意し、受け取ったデータを一文字ずつ読み込み、空白でなければ$aの後ろに追加し、空白ならば$a = "\"" . $a . "\"";して$aを""にはさみ、変数$bを用意し、また一文字ずつ読み込み、空白じゃなければ$bに追加し、空白ならば、変数$cを用意して一文字ずつ読み込み、")"じゃなければ$cの後に追加し、")"ならば$c = "\"" . $c . "\"";してはさみ、最後に結果を出す変数（ここでは$result）に出す。 -> $result = "(" . $a . " " . $b . " " . $c . ")";
ってとこでしょうか。
…というわけで。
やってみましょう。

<? php
$query = htmlspecialchars($_GET["keyword"]);

$a = "";
$b = "";
$c = ""

$d = "a";// どの変数に代入するか指定されている

for($i = 1;$i > strlen($query);$i++){
  switch($d){
    case "a":
      // (a and b)のaを取得する部分
      if($query[$i] != " "){
        // 空白じゃないとき
        $a .= $query[$i];
      }else{
        // 空白のとき
        $a = "\"" . $a . "\"";
        $d = "b";
      }
      break;

    case "b":
      // (a and b)のandを取得する部分
      if($query[$i] != " "){
        // 空白じゃないとき
        $b .= $query[$i];
      }else{
        // 空白のとき
        $d = "c";
      }
      break;

    case "c":
      // (a and b)のbを取得する部分
      if($query[$i] != ")"){
        // ")"じゃないとき
        $c .= $query[$i];
      }else{
        // ")"のとき
        $c = "\"" . $c . "\"";
      }
      break;
  }
}

$result = "(" . $a . " " . $b . " " . $c . ")";
?>

実行していないので合っているかわかりませんが。
###追記
これは普通のphpなのであなたがやろうとしているものかはわかりません。
すみません。

Comments

[yuuuui]

回答ありがとうございます。いただいたソースで実行してみましたが $result をvar_dumpしてみると
"( )" と表示され、$a,$b,$c に何も入っていないようでした、、
セキュリティに問題があると指摘を受けましたので別の検索システムに変更しようかと考えています。
細かいソースコードまで、ありがとうございました。

[bob2017]

そうですか。
すみませんでした。

[yuuuui]

いえいえ、こちらこそすみませんでした。
ありがとうございました。