変数を使用してSQLを作成する

Question

$ _POST関数から配列を受け取り、そのインデックスに含まれるインデックスと値を使用してSQLを作成する関数があります。私の問題は、SQLを正しくエコーする関数を得ることができますが、変数を作成できません。このスクリプトを実行し、それを連想配列を渡すと私の関数は、それはたとえば$contacts = array("name"=>"Peter griffin","town"=>"Quahogn");ため

function createcontactsArray($sql,Array $contactsArray){ 
     //array has already been cleaned from sql injections 

     //delete null variables and the value of the submit button   
     foreach ($contactsArray as $key => $value) { 

      if($value == ""||$value=="continue") { 
       unset($contactsArray[$key]); 
      } 

     } 

     echo "INSERT INTO users("; 
     //create list of tables to use in the database 
     foreach ($contactsArray as $key => $value) { 

      if ($value == end($contactsArray))    { 
       echo $key; 
      } else    { 
       echo $key.","; 
      } 

     } 
     echo ') VALUES ('; 

     //create list of tables to use in the database 
     //$newcontactsArray = array_values($contactsArray); 
     foreach ($contactsArray as $key => $value) { 

      if ($value == end($contactsArray))    { 
       echo '"'.$value.'"'; 
      } else    { 
       echo '"'.$value.'"'.","; 
      } 

     } 

     echo ');'; 

}

下に次のINSERT INTO users (name,contacts) VALUES ("Peter griffin","Quahog")出力されますです。しかし、私は$sql = INSERT INTO users (name,contacts) VALUES ("Peter griffin","Quahog")のようなSQLを作成する関数をしたいので、出力するために私はちょうどecho $sql;と言う。

Answer 1

function createcontactsArray($sql,Array $contactsArray){ 
     //array has already been cleaned from sql injections 

     //delete null variables and the value of the submit button   
     foreach ($contactsArray as $key => $value) { 

      if($value == ""||$value=="continue") { 
       unset($contactsArray[$key]); 
      } 

     } 

     $sql = "INSERT INTO users("; 
     //create list of tables to use in the database 
     foreach ($contactsArray as $key => $value) { 

      if ($value == end($contactsArray))    { 
       $sql .= $key; 
      } else    { 
       $sql .= $key.","; 
      } 

     } 
     $sql .= ') VALUES ('; 

     //create list of tables to use in the database 
     //$newcontactsArray = array_values($contactsArray); 
     foreach ($contactsArray as $key => $value) { 

      if ($value == end($contactsArray))    { 
       $sql .= '"'.$value.'"'; 
      } else    { 
       $sql .= '"'.$value.'"'.","; 
      } 

     } 

     $sql .= ');'; 

     return $sql; 

Answer 2

すべての部分をエコーし​​ませんが、文字列変数でそれらを収集してください。だから、代わりに：

echo 'Text'; 
echo $variable; 

.=は、新しいものと前の値を連結することを関数の戻り値の終わりに

$output = 'Text'; 
$output .= $variable; 

ような何かを

return $output; 

注意して出力することを。

Answer 3

ここが正しいです。

function dbSet($fields,$source=array()) { global $mysqli; if (!$source) $source = &$_POST; $set=''; foreach ($fields as $field) { if (isset($source[$field])) { $set.="`$field`='".mysqli_real_escape_string($mysqli,$source[$field])."', "; } } return substr($set, 0, -2); } 

は、あなたが常に許可フィールド名をハードコーディングする必要があり、この

$query = "UPDATE $table SET ".dbSet(array("name","contacts")); 

ノートのように使用する安全と清潔、$ _POSTからそれらを得る、またはサイトは数秒でハッキングされません。

with mysqlこの関数は、INSERTクエリまたはUPDATEクエリのいずれかに使用できます。

Answer 4

function createcontactsArray($sql,Array $contactsArray){ 
     //array has already been cleaned from sql injections 
     $sql = ''; 
     //delete null variables and the value of the submit button   
     foreach ($contactsArray as $key => $value) { 

      if($value == ""||$value=="continue") { 
       unset($contactsArray[$key]); 
      } 

     } 

     $sql .= "INSERT INTO users("; 
     //create list of tables to use in the database 
     foreach ($contactsArray as $key => $value) { 

      if ($value == end($contactsArray))    { 
       $sql .= $key; 
      } else    { 
       $sql .= $key.","; 
      } 

     } 
     $sql .= ') VALUES ('; 

     //create list of tables to use in the database 
     //$newcontactsArray = array_values($contactsArray); 
     foreach ($contactsArray as $key => $value) { 

      if ($value == end($contactsArray))    { 
       $sql .= '"'.$value.'"'; 
      } else    { 
       $sql .= '"'.$value.'"'.","; 
      } 

     } 

     $sql .= ');'; 

     echo $sql;