MySQLは$ _REQUESTで値を取得した後にNULL値を挿入します

Question

私は入力フィールドを持っていますが、ユーザーが空白のままにしておくと、データベースにnull値を挿入します。

私はこのような値を要求：

$val1 = htmlspecialchars($_REQUEST["val"], ENT_QUOTES); 

をそしてDBにそれらを挿入します。

INSERT INTO `table` (`val1` , `val2` , `val3`) 
VALUES ('$val1', '$val2', '$val3'); 

I 'の周りVAL1、VAL2、val3は削除しようとした - しかし、その後何も挿入されませんが値がない場合はDBに格納します。 、[OK]をDB

Answer 1

にまだ挿入、最初にこの

INSERT table（val1 INTO - '値の周りのない

if (!empty($val1)) { 
$val1 = "'".$val1."'"; 
} else { 
$val1 = NULL;} 

そして：私はまた、このような何かを試してみましたval2,val3） VALUES（ 'val1'、 'val2'、 'val3'）;

は、 "val1"、 "val2"、 "val3"というリテラル値のみを挿入します。あなたはPHP変数を使用していません。

第2に、プリペアドステートメントとパラメータバインディングを使用してクエリを実行し、SQLインジェクションから自分を守ります。たとえば、PDOを使用する場合

$pdo = new PDO(/* DSN, username and password, just read the docs */); 

$stmt = $pdo->prepare('INSERT INTO table (val1, val2, val3) VALUES (?, ?, ?)'); 

$params = array(
    isset($_REQUEST['val1']) ? $_REQUEST['val1'] : null, 
    isset($_REQUEST['val2']) ? $_REQUEST['val2'] : null, 
    isset($_REQUEST['val3']) ? $_REQUEST['val3'] : null 
); 

$stmt->execute($params); 

また、HTMLエンコード値をデータベースに挿入しないでください。 HTMLドキュメントに値を表示するときにエンコードを実行します。

Answer 2

私はこれを正しく理解していれば、あなたはこのような何か意味：私は本当にこれがより保護されるべきものの簡易版であることを意味し、このような何かによって

$val1 = null; 
$val2 = null; 
$val3 = null; 

if(isset($_REQUEST['val1'])) 
    $val1 = "'".mysql_real_escape_string(htmlspecialchars($_REQUEST["val1"], ENT_QUOTES, 'utf-8'))."'"; 

if(isset($_REQUEST['val2'])) 
    $val2 = "'".mysql_real_escape_string(htmlspecialchars($_REQUEST["val2"], ENT_QUOTES, 'utf-8'))."'"; 


if(isset($_REQUEST['val3'])) 
    $val3 = "'".mysql_real_escape_string(htmlspecialchars($_REQUEST["val3"], ENT_QUOTES, 'utf-8'))."'"; 


mysql_query("INSERT INTO `table` (`val1`, `val2`, `val3`) 
VALUES ($val1, $val2, $val3)"); 

を。あなたはヌル値を渡す方法を探しているだけなので、ここから取得します。データベースの挿入/クエリでユーザーが送信した値を使用している場合

Answer 3

常に注意してください - このユーザーは、PHPのコミュニティのほとんどと同じように、現在であれば（私は、PDO引数を認めるが、http://bobby-tables.com/

<?php 

$val1 = 'NULL'; 
$val2 = 'NULL'; 
$val3 = 'NULL'; 

if(isset($_REQUEST['val1']) && !empty($_REQUEST['val1'])) 
    $val1 = "'".mysql_real_escape_string($_REQUEST['val1'])."'"; 

if(isset($_REQUEST['val2']) && !empty($_REQUEST['val2'])) 
    $val1 = "'".mysql_real_escape_string($_REQUEST['val2'])."'"; 

if(isset($_REQUEST['val3']) && !empty($_REQUEST['val3'])) 
    $val1 = "'".mysql_real_escape_string($_REQUEST['val3'])."'"; 


mysql_query("INSERT INTO `table` (`val1`, `val2`, `val3`) 
VALUES ($val1, $val2, $val3)"); 

を参照してください。 mysql_*機能と連携し、私は彼らがそうでなければ行う需要に誰だ？）

Answer 4

あなたの基本的な問題は、それはあなたがNULL一定のSQLを使用する必要がMySQLのにnullを挿入することです。それを引用することは機能しません。つまり、'$val1'をNULLと置き換える必要があります。

この小さなつかまりは、まともなORMレイヤと同様に、あなたのために用意されたステートメントです。

（通常、データベースに入れる前に値をHTMLでエスケープする必要はありませんが、それは無関係の問題です）。