WHEREのsprintf（）で句

Question

私は昏睡状態が

$emails = “111@abc.com, 222@abc.com, 333@abc.com”; 

つまりは私が欲しい

<?php 
function cust_get_oldest_items_all($limit = 1) { 
    $mSearch = new Search(); 
    $result = $mSearch->dao->query(sprintf('SELECT pk_i_id FROM %st_item ORDER BY dt_pub_date LIMIT 0, %d', DB_TABLE_PREFIX, $limit)); 

    return $result->result(); 
} 
?> 

正常に動作怒鳴るPHPコードを持って分離されている電子メールアドレスの数を含む文字列を持っています上記のPHPコードでWHERE句を使用して、s_contact_emailが$ emails内にある項目だけを含めるには？

Answer 1

はあなたの電子メール、このよう操作する：

$emails = "111@abc.com, 222@abc.com, 333@abc.com"; 
$emailsArr = explode(",",$emails);//make an array of emails  

//Todo: escape each array item (each email) to prevent SQL injection 

//surround each email with single quotes 
$emailsArr = array_map(function($e){return "'".trim($e)."'";},$emailsArr); 

//join. new string looks like >> ('111@abc.com','222@abc.com','333@abc.com') 
$emails = '('. implode(",",$emailsArr) .')'; 

をまたにあなたのSELECTクエリを変更します

SELECT pk_i_id FROM %st_item 
WHERE s_contact_email IN $emails 
ORDER BY dt_pub_date LIMIT 0, %d 

セキュリティノート

この修正プログラムは動作しますが、それは十分ではありません。各電子メールアドレスを適切にエスケープするか、プリペアドステートメントを使用してDB（SQLインジェクション攻撃）を引き継ぐ攻撃者の攻撃をブロックするか、または