Как вставить переменные в sql запрос на php?

Question

Григорий Дидус @Suicide676

didusdev.com

PHP
MySQL

Как вставить переменные в sql запрос на php?

Нужно сделать выборку из БД.

1. Соединяемся с сервером БД (успешно)
2. Выбираем БД (успешно)
3. Формируем запрос на получение данных из БД (ошибка)

переменные берутся из $_POST[].

$city = $_POST[city];
	$area = $_POST[area];
	$price1 = ($_POST[price]) + 50;
	$price2 = ($_POST[prise]) - 50;

запрос :

$querySell = ("
		SELECT * FROM mytable
		WHERE city = '.$city.'
		AND price <= '.$price1.'
		AND price >= '.$price2.'
		AND type = "Продать"
		;
	");

$result = mysql_query($querySell) or die (mysql_error());

ошибка : Query was empty

Вопрос:
Как правильно оформить вставку переменных в этот запрос?

Вопрос задан более трёх лет назад
21911 просмотров

1 комментарий

Подписаться 2 Оценить 1 комментарий

Пригласить эксперта

Ответы на вопрос 6

1 комментарий

7 комментариев

8 комментариев

Григорий Дидус @Suicide676 Автор вопроса

я только учусь и не знаю что такое PDO. Вы можете привести четкий пример вставки переменной в sql запрос?

Написано более трёх лет назад
unclefeudorsnew @unclefeudorsnew

Да, конечно.
Сначала подключаемся:
<?php
$dbh = new PDO('mysql:host=localhost;dbname=test', $user, $pass);
//Затем, готовим запрос:
$stmt = $dbh->prepare("SELECT * FROM mytable WHERE city=:city AND price<=:price1 AND price>=price2 AND type=:type");
//Суть в том что движок PDO за нас заменит все, что начинается с : на нужные переменные. Укажем ему на какие именно:
$stmt->bindParam(':city', $city);
$stmt->bindParam(':price1', $price1);
$stmt->bindParam(':price2', $price2);
$stmt->bindParam(':type', $type);
//Теперь можно присвоить значения переменным:
$city = $_POST[city];
$type="Продать";
$price1 = ($_POST[price]) + 50;
$price2 = ($_POST[prise]) - 50;
//Осталось только выполнить запрос:
$stmt->execute(array($name));
//И получить его результат:
$data = $stmt->fetchAll();
var_dump($data);
?>

Написано более трёх лет назад
Григорий Дидус @Suicide676 Автор вопроса

unclefeudorsnew: спасибо!

Написано более трёх лет назад
unclefeudorsnew @unclefeudorsnew

Григорий Дидус: Рекомендую попробовать, ибо по памяти писал

Написано более трёх лет назад

Григорий Дидус @Suicide676 Автор вопроса

unclefeudorsnew:
результат

Warning: PDOStatement::execute() [pdostatement.execute]: SQLSTATE[HY093]: Invalid parameter number: number of bound variables does not match number of tokens in Z:\home\localhost\www\job\db22.php on line 16
array(0) { }

Написано более трёх лет назад

Григорий Дидус @Suicide676 Автор вопроса

FanatPHP: не любите вы новичков. Я сам учусь 4 месяца дома и много чего не понимаю и еще не знаю. Это не значит что все, кто не знает - обезьяны.

Написано более трёх лет назад
FanatPHP @FanatPHP

Григорий Дидус: те, кто не знают, но лезут советовать другим - еще похуже обезьян. Впрочем, здесь я свои претензии удалил.

Написано более трёх лет назад
unclefeudorsnew @unclefeudorsnew

Григорий Дидус: в целом могу вам посоветовать замечательную обертку от хабражителя: habrahabr.ru/post/119294

Написано более трёх лет назад

15 комментариев

Григорий Дидус @Suicide676 Автор вопроса

изначально их небыло, я перебирал все что знал, добавлял и менял местами "( )" и менял местами " " -> ' '. Результата не было.

Написано более трёх лет назад
olamedia . @w999d

обратите внимание на 5 пункт, очень похоже на него.

Написано более трёх лет назад
Григорий Дидус @Suicide676 Автор вопроса

var_dump($querySell) ----------- NULL.

Написано более трёх лет назад
olamedia . @w999d

Григорий Дидус: ну дык разберитесь почему в этом месте она не определена. либо дайте полный кусок кода

Написано более трёх лет назад
Григорий Дидус @Suicide676 Автор вопроса

olamedia .: пункт 5 - не годится, там нету опечатки. Проверил.

Написано более трёх лет назад
olamedia . @w999d

Григорий Дидус: в пятом пункте не только опечатки, а еще область видимости.
т.е. переменная определена в месте, недоступном для mysql_query. либо вообще не была определена, если какое-то условие не выполнилось
например, if (условие не выполнилось){ $querySell = "..."; } mysql_query($querySell);

Написано более трёх лет назад

Григорий Дидус @Suicide676 Автор вопроса

olamedia .:
вот файл index.php

<?php
	$host = "localhost";
	$pass = "qwerty";
	$user = "suicide676";
?>	

<?php
	echo "<hr>";
	echo $_POST[sell] . "<br>";
	echo $_POST[buy] . "<br>";
	echo $_POST[city] . "<br>";
	echo $_POST[area] . "<br>";
	echo $_POST[price] . "<br>";
	
	?>

<html>
<head>
	<meta charset="utf-8">
	<title>Фильтр</title>
	<link href="style.css" type="text/css" rel="stylesheet">
	<script type="text/javascript">
		
		
		function disableArea(){
			//alert ('disable area');
			var ar = document.getElementById('area');	
				ar.disabled = true;
				return false;
				
		}		
				
		
		function disablePrice(){
			//alert ('disable price');
			var pr = document.getElementById('price');
				pr.disabled = true;
				return false;	
		}

		function start (){
			var buy = document.getElementById('buy');
			var sell = document.getElementById('sell');
			var area = document.getElementById('area');
			var price = document.getElementById('price');
				buy.onclick = disableArea;
				sell.onclick = disablePrice;
		}


		window.onload = start;
		
	</script>
</head>
<body>
<div id="container">	
	<div id="filter">
<form id="tab" method="POST" action="<?php $_SERVER['REQUEST_METHOD'] ?>">
		<button id="buy" name="buy">Купить</button>
		<button id="sell" name="sell">Продать</button>
		<br>
		<?php include('list.php'); ?>
		<br>
			<label>Площадь:</label>
		<input type="text" name="area" id="area"></input><br>
			<label>Цена:</label>
		<input type="text" name="price" id="price"></input><br>
		<input type="submit" value="Найти"></input><br>
</form>	
	</div>
	<hr>
	<div id="table">
	<?php
	include("db.php");
	echo "<hr>";
	
	?>
	</div>
	
</div>
</body>
</html>

а вот файл, который подключается в него и работает с БД

<?php
	echo ($querySell);

	$city = $_POST[city];
	$area = $_POST[area];
	$price1 = ($_POST[price]) + 50;
	$price2 = ($_POST[prise]) - 50;
	
	//$selectQuery = "SELECT * FROM mytable";
	
	$connect = mysql_connect ($host, $user, $pass) or die (mysql_error());
	$db = mysql_select_db("mydb", $connect) or die (mysql_error());
	
	$result = mysql_query($querySell) or die (mysql_error());
	
		
	
	
	$querySell = ('
    SELECT * FROM mytable
    WHERE city = '.$city.'
    AND price <= '.$price1.'
    AND price >= '.$price2.'
    AND type = 1');
	
$result = mysql_query($querySell) or die (mysql_error());
	
	$queryBuy = "
		SELECT * FROM mytable
		WHERE city = '$city'
		AND area = '$area'
		AND type = 'Купить'
		;
	";	
		echo ($querySell);
	
	
	echo "<table border='1' id='tab'>";
		echo "<tr>";
			echo "<td>". "<b>Тип</b>" ."</td>";
			echo "<td>". "<b>Город</b>" ."</td>";
			echo "<td>". "<b>Площадь</b>" ."</td>";
			echo "<td>". "<b>Цена</b>" ."</td>";
		echo "</tr>";
	while ($arr = mysql_fetch_array($result)){
		
	echo "<tr>";
		echo "<td>" . $arr['type'] . "</td>";
		echo "<td>" . $arr['city'] . "</td>";
		echo "<td>" . $arr['area'] ." S". "</td>";		
		echo "<td>" . $arr['price'] ." UAH". "</td>";
	echo "</tr>";
	}
	echo "</table>";

?>

Написано более трёх лет назад

olamedia . @w999d

значение присваивается после mysql_query
$result = mysql_query($querySell) or die (mysql_error());
...
$querySell =

Написано более трёх лет назад
Григорий Дидус @Suicide676 Автор вопроса

olamedia .: if там нету, до него не дошло, я проверяю без условия.

Написано более трёх лет назад
olamedia . @w999d

Григорий Дидус: см ниже: значение присваивается после mysql_query
$result = mysql_query($querySell) or die (mysql_error());
...
$querySell =

Написано более трёх лет назад
FanatPHP @FanatPHP

Как я и говорил - все проблемы от неправильной обработки ошибок.

Написано более трёх лет назад
olamedia . @w999d

FanatPHP: точнее отсутствием обработки в виде die

Написано более трёх лет назад
FanatPHP @FanatPHP

Это первое. А второе - E_ALL бы показал на попытку обращения к еще не определенной переменной.

Написано более трёх лет назад
olamedia . @w999d

Григорий Дидус: и да, никому, особенно здесь, не сообщайте адрес сайта, на котором это крутится, пока не избавитесь от инъекций и вообще пока не подучите язык )
взломают моментально

Написано более трёх лет назад
olamedia . @w999d

FanatPHP: E_ALL уронил бы страницу сразу на $_POST[sell] - неопределенная константа, приведение к строке.

Написано более трёх лет назад

9 комментариев

1 комментарий

Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации

Похожие вопросы

PHP

+1 ещё

Простой
Как в php формировать ответ на AJAX XMLHttpRequest запрос?
- 1 подписчик
- 17 часов назад
- 75 просмотров
0

ответов
PHP

+2 ещё

Средний
Запросы soap в инфоклинику на php?
- 1 подписчик
- 20 часов назад
- 127 просмотров
2

ответа
PHP

Простой
Не работает часть скрипта PHP при смены PHP 7 на 8?
- 1 подписчик
- вчера
- 183 просмотра
3

ответа
MySQL

+1 ещё

Простой
Как извлечь топ 15 очков из таблицы чтобы игроки не дублировались?
- 1 подписчик
- вчера
- 99 просмотров
1

ответ
PHP

Средний
Как найти в массиве ответа API нужное значение, при том что значение может быть написано в разном регистре?
- 1 подписчик
- вчера
- 137 просмотров
3

ответа
PHP

+1 ещё

Простой
Как отправить сообщение в определенную тему в группе Telegram боту на PHP?
- 1 подписчик
- вчера
- 83 просмотра
1

ответ
PHP

+1 ещё

Простой
Почему не работает JWT поверка?
- 1 подписчик
- вчера
- 67 просмотров
0

ответов
PHP

+1 ещё

Средний
Как отладить плавающий баг проверки капчи?
- 1 подписчик
- вчера
- 61 просмотр
1

ответ
PHP

+1 ещё

Простой
Как сделать авторизацию по двум таблицам в Symfony?
- 1 подписчик
- 22 апр.
- 89 просмотров
2

ответа
MySQL

Простой
Как сохранить mysql базу?
- 1 подписчик
- 21 апр.
- 86 просмотров
1

ответ
Показать ещё Загружается…

PHP Developer

YCLIENTS • Москва

от 200 000 до 350 000 ₽

PHP разработчик

Ведисофт • Екатеринбург

от 25 000 ₽

Midlle PHP developer (backend)

ИТЦ Аусферр • Магнитогорск

от 100 000 до 160 000 ₽

Создать бота

24 апр. 2024, в 09:32

25000 руб./за проект

Требуется выполнить анимацию в 3D

24 апр. 2024, в 09:27

13000 руб./за проект

Поднять сайт

24 апр. 2024, в 09:20

10000 руб./за проект

А точки-то зачем? для прайса можно взять between, если это числа. Попробуйте написать сначала запрос или в консоли, или в чем-то типа phpmyadmin, если он есть.

Answer 1 · 2015-03-14 18:31:54

Как вставить переменные в sql запрос на php?

Только. Через. Плесхолдеры.
Любой, кто отвечает иначе - тупой нуб, застрявший в прошлом веке и так и не осиливший даже азы программирования.

Соответственно, тебе нужна библиотека, которая поддерживает плейсхолдеры. Хотя старушку mysql ext можно заставить, но для новичка лучше всего подойдет PDO.

$sql = "SELECT * FROM mytable WHERE city = ? AND price BETWEEN ? AND ? AND type = 'Продать'";
$stmt = $pdo->prepare($sql);
$stmt->execute([$_POST['city'], $_POST['area'], $_POST['price']-50, $_POST['price']+50]);
$data = $stmt->fetchAll();

Как соединяться с БД и вообще про PDO читай здесь: phpfaq.ru/pdo

А твоя ошибка вызвана опечаткой и неправильной обработкой ошибок.
Во-первых, у тебя в какой-то из запросов передается пустая строка - скорее всего, из-за опечатки
Во-вторых, если бы в РНР было включено нормальное отображение ошибок, то РНР тебе бы сам ругнулся на эту опечатку.
В-третьих, если бы ошибки mysql обрабатывались по-человечески, то РНР тоже указал бы на тот конкретный запрос, который оказался пустым. И ты бы не хватался вместо него за первый попавшийся.

Answer 2 · 2015-03-14 18:13:43

Поменяйте местами кавычки у слова Продать (там одинарные в вашем случае нужны) с кавычками, которые используете при вставке переменных, там двойные

Answer 3 · 2015-03-14 18:15:36

unclefeudorsnew @unclefeudorsnew

Используйте встроенные возможности PDO

Ответ написан более трёх лет назад

8 комментариев

Answer 4 · 2015-03-14 18:18:06

1. нафига скобки? ("
2. '.$city.' и подобные заменить на '".$city."' либо '$city'
3. вы получили уязвимость на sql-инъекции. используйте PDO/mysqli_prepare/mysql_real_escape_string
4. mysql_ устарел и перестанет поддерживаться через какое-то время окончательно, используйте mysqli_/PDO

5. сделайте var_dump($querySell) из mysql_query. возможно это просто опечатка (вроде русской е заместо e либо I заместо l, у заместо y) либо $querySell определена в другой области видимости (другом методе, например)
6. "Продать" в одиночные кавычки - вы, как видно не используете подсветку синтаксиса, иначе увидели бы, что внутри получилось 2 строки "СТРОКА1"Продать"СТРОКА2" и Продать между ними.

Answer 5 · 2015-03-14 18:20:23

Используйте богоугодные языки и символы.

$querySell = ('
    SELECT * FROM `mytable`
    WHERE `city` = '.$city.'
    AND `price` <= '.$price1.'
    AND `price` >= '.$price2.'
    AND `type` = 1
');

Type настроите сами.

Answer 6 · 2015-03-14 19:08:10

DieZz @DieZz

Прочтите вот эту статью. Думаю, очень поможет habrahabr.ru/post/137664

Ответ написан более трёх лет назад

1 комментарий

Как вставить переменные в sql запрос на php?

Войдите, чтобы написать ответ

Минуточку внимания

Войдите на сайт