フォームからの入力情報をSQLに登録するプログラムについて

Question

「ちゃんと使える力を力を身につけるwebとプログラミングのきほんのきほん」という書籍で勉強中なのですが、329ページの、htmlで作ったフォームで入力され、送信された際に、その情報をSQLにINSERT文を発行して登録するphpプログラムでわからないことがあります。

画像のオレンジの部分なのですが、VALUES(から後の部分は、「'」で登録内容をくくるだけではだめなのでしょうか？このサンプルプログラムで、「.」や、「"」がたくさん使われている意味が理解出来ません。
詳しい方、ご回答頂けますと幸いです。
宜しくお願い致します。

Answer 1

PHPの文字列の変数展開、文字列の結合について確認してみてください。

参考）
https://eng-entrance.com/php-string-variable
http://www.dicre.com/php/php-stringembed

少なくともシングルコーテーションでくくるだけだと、変数展開はされないのでダメです。

あと、この本でもおそらくこの後に出てくると思いますが、これだとセキュリティ上の大問題があって、このようなソースコードを書くことは実際はありえませんので、まずはこのまま読み進めていいと思います。

Comments

[yuupon]

おっしゃる通り、この後のページでセキュリティに大問題があり、修正プログラムが書かれていました。この本で初めて勉強を始めたばかりなので、ご紹介頂いたサイトでもphpについてもっと勉強していきます。この度はご回答ありがとうございました。

Answer 2

これは動作を理解するための簡易的なinsertなのでしょう
通常はprepareで処理するので任意にクォーテーションで囲む必要はありません

Comments

[yuupon]

ご回答頂きありがとうございます。
この本で初めてプログラミングを勉強し始めたばかりなので、prepare等もっと専門的なことも今後勉強していきたいと思います。

Answer 3

例えば、

INSERT INTO address (username) VALUES 'ichiro';

という SQL 文を PHP で構成するには、

$sql = "INSERT INTO address (username) VALUES '" . $_POST["username"] . "';";

のように、PHP変数と文字列リテラルを . 演算子で結合する必要があり、その前後には文字列リテラルの終了または開始を表す " 引用符が必要になります。SQL文の文字列として ' 引用符を使いたいことに注意して読んでみてください。

また、見やすくするために改行を加えれば、改行前後でも文字列リテラルを一旦区切るために、必要以上に " と . を記述することになります。その結果がその書籍のような記述内容になるのです。

Comments

[yuupon]

非常にわかりやすく説明して頂き、この度はありがとうございました。
これからも頑張って勉強していきます。