PHP PDOでのデータベース更新、UPDATE文の構文が分からない

実現したいこと

UPDATE構文を直し、データベースを更新するように動かしたい

前提

テーブル「account_list」の、カラム「id」＝POST「number」のrowデータに対して、カラム「family_name」にPOST「family_name」を更新、カラム「delete_flag」を0に更新したい

$POSTそれぞれに値はきちんと入っており、この構文自体が問題だととらえていますがいまいち直し方が分かりません。

この構文をechoしてみると
UPDATE account_list SET family_name = 田中, delete_flag = 0 WHERE id = 1
と表示されるので田中の両端にクォーテーションが付けられれば良さそうですが上手くいきません…

発生している問題・エラーメッセージ

UPDATE構文が悪く、exitしてしまう

該当のソースコード

PHP
1<?php
2
3try{
4    mb_internal_encoding("utf8");
5    $dbh = new PDO("mysql:dbname=account;host=localhost;","root","");
6    $sql = "UPDATE account_list SET family_name = ".$_POST['family_name'].", delete_flag = 0 WHERE id = ".$_POST['number']."";
7    $sth = $dbh->query($sql);
8}catch(PDOException $e){
9    header("Location:error.php?reason%5b%5d=delete");
10    exit();
11}
12?>

試したこと

結合の.や”などの付け方をいろいろ試してみましたが一向に分かりません…

hoshi-takanori

2023/09/18 23:41

文字列連結で SQL 文を組み立てるのは SQL インジェクションという脆弱性であり、データの流出や破壊の原因になります。プレースホルダを使いましょう。 https://blog.senseshare.jp/placeholder.html

m.ts10806

2023/09/19 02:13

まず動くSQLを組んで、PHPからではなく直接実行して想定の結果を得られる調整が先です。

行動規範の内容に同意します

回答2件

解決しました！
丁寧ご回答ありがとうございます！

投稿2023/09/19 07:33

shirakana1320

総合スコア1

ベストアンサー

原因はポスト値を文字列として解釈できるように渡してないから

PHP
1・・・family_name = ".$_POST['family_name'].",・・・
2↓↓↓
3・・・family_name = ’".$_POST['family_name']."’,・・・

ただこれだけでは不十分で、インジェクションやエスケープの問題があるので
普通はプレースホルダーを利用します
POST値も一度変数に受けておくことが肝要です

PHP
1$family_name=filter_input(INPUT_POST,"family_name");
2$number=filter_input(INPUT_POST,"number");
3try{
4  $dbh  = new PDO($dsn, $user,$password);
5  $sql = "UPDATE account_list SET family_name = ? delete_flag = 0 WHERE id = ?";
6  $sth = $dbh->prepare($sql);
7  $sth->execute([$family_name,$number]);
8}catch(PDOException $e){
9  die($e->getMessage());
10}