php - PHPの文字列連結エラー

Question

私のコードでは、ユーザーから Web ページを介して入力を受け入れ、ユーザーからの入力に基づいて where 句を動的に作成して SQL クエリを作成しようとしています。ただし、文字列を正しく連結できないようです。

$whereclause .= "AND niche ='".$niche."'";

$result = mysql_query("SELECT * FROM merc WHERE 1 = 1".$whereclause."") or die('Could not connect: ' . mysql_error());

Answer 1

クエリの作成中に SQL インジェクション状態を回避し、mysql の代わりにmysqliまたはPDO_mysqlを使用する必要があります。

次のクエリを試してください。

$result = mysql_query("SELECT * FROM merc WHERE 1 = 1 ".$whereclause."") or die('Could not connect: ' . mysql_error());

クエリにスペースがありませんでした。

Answer 2

スペースがありません。

$whereclause = "AND niche = '".mysqli_real_escape_string($niche)."'";
$result = mysqli_query("SELECT * FROM merc WHERE 1 = 1 ".$whereclause") or die('Could not connect: ' . mysqli_error());

ユーザーからの入力を取得するときに、それが無傷で MySQL に渡されないことを確認してください。そうしないと、アプリケーションが多くの問題、特に SQL インジェクションに直面する可能性があります。また、mysql_* 関数は廃止されました。mysqli_* に移行することを強くお勧めします。