MYSQL：ユーザ入力に基づくフィルタクエリ

Question

多分これは簡単な質問ですが、私は答えを見つけるのに苦労しています。

テーブルartのcategory,subject、mediumのフィールド値に基づいてフィルタ機能を実装しようとしています。ユーザーが選択した場合のみcategory結果は、ユーザーがcategoryとsubjectを選択した場合、それは

上SELECT * FROM ART WHERE category=val AND subject=val

とそうでなければなりませんが、私はどのようにしませんクエリ SELECT * FROM ART WHERE category=val

ことを意味します

私は動的にこのクエリを構築する1つのアプローチはすべての可能な組み合わせのクエリを作成し、条件に基づいて実行するが、私は良いアプローチだとは思わない

Answer 1

$sql=" SELECT * FROM ART where 1=1 "; 

if(!empty($category) { 
    $sql.=" and category= $value"; 
} 

if(!empty($subject) { 
    $sql.=" and subject= $value"; 
} 

if(!empty($medium) { 
    $sql.=" and medium= $value"; 
} 

以下のようにWHERE条件ですべてのフィルタを試してみてくださいあなたは3つのチェックのすべてをどこに追加することはできません（誤ったSQL文字列を作るでしょう）。

SQLインジェクションについて読む。パラメータバインディングを使用してパラメータを追加してください。これはあなたのアイデアを得るためのものですが、これはうまくいくがSQLインジェクションに対して脆弱です

Answer 2

はとORないと

= 1 1は、ちょうどあなたがどこに応じとして追加するためのいくつかのログインを持っている必要があり、他の正しい構文を維持することです

SELECT * FROM ART WHERE category=val OR subject=val OR medium=val;