php配列からPDO MYSQLクエリを構築しますか？

Question

私はそれが動作しない、これまでのところ私が持っている配列の値からクエリを構築するために

$itemPlus = $_POST['itemPlus']; 
$query = implode(', ', array_map(function($items) {return $items . ' = ' . $items . '-?';}, $items)); 
// $query = 'hats = hats-?, gloves = gloves-?, scarfs = scarfs-?' 
$params = implode(', ', $userCost); 
// $params = '10, 7, 9' 
$q = $dbc -> prepare("UPDATE items SET " . $query . ", $itemPlus = $itemPlus+1 WHERE id = ?"); 
$q -> execute(array($params, $account['id'])); 

をしようとしています、これはこれをしようと私の最初の時間であり、それは動作しないように私は明らかにしています何か間違っている！？

おかげ

Answer 1

$paramsは、値の文字列であるので、あなたは$account['id']と一緒に配列にそれをすることはできません。 $userCostそれを作成した配列Instead.use：$itemPlusは$_POSTから来ているので

// Start with the $userCost array... 
$paramArr = $userCost; 
// Add $account['id'] to it 
$paramArr[] = $account['id']; 
// And pass that whole array to execute() 
$q -> execute($paramArr); 

、あなたはそれが有効な入力であることを確認する必要があります。それがそのためにホワイトリストを使用することが推奨され、列名を指しているので：

// Check against an array of possible column names: 
if (!in_array($_POST['itemPlus'], array('col1','col2','col3','col4',...)) { 
    // $_POST['itemPlus'] is NOT VALID 
    // Don't proceed... 
} 

Answer 2

あなたの問題（その1）ここにある：

$q -> execute(array($params, $account['id'])); 

$params変数は、カンマで区切られています文字列：

// $params = '10, 7, 9' 

あなたはこのように、​​方法にparamsパラメータと値の連想配列を渡したい：

$params = array(
    'hats-?' => 10, 
    'gloves-?' => 7, 
    'scarves-?' => 9 
); 

// ... 

$q->execute($params);