SQL BindParam Problem

strong97

Guten Tag,

Brauche Hilfe bei einem Statement in Sql.
Ich möchte es so einstellen das , wenn man ein Buchstaben eingibt z.B ( s ) , dass dann alle Emails die mit S anfangen angezeigt werden, Ohne BindParam funktoniert es möchte es aber mit BindParam machen wegen der Sicherheit. Wenn ich ein Buchstabe eingebe erscheint kein Datensatz.

Spoiler anzeigen

[PHP]
<?php

if('POST' == $_SERVER['REQUEST_METHOD']) {

if(!isset($_POST['senden'])) {
exit("Falsches Dokument");
} else {

include "sec/verbindung.inc.php";

$sql = "SELECT id, email FROM daten WHERE email LIKE '?'%";
$stmt = $verbindung->prepare($sql);
$stmt->bindParam(1, htmlspecialchars($_POST['id-tag']));
$stmt->execute();
$arr = $stmt->fetchAll(PDO::FETCH_ASSOC);

echo "<table border='1'>";
echo "<tr><td> id</td> <td>Email</td></tr>";
foreach ($arr as $data) {
echo "<tr>";
echo "<td>" . $data['id'] . "</td>";
echo "<td>" . $data['email'] . "</td>";
echo "</tr>";
}
echo "</table>";
}
}
?>
[/PHP]

cottton

Zitat von strong97

möchte es aber mit BindParam machen wegen der Sicherheit

top!

So sollte es laufen:

PHP

<?php




if('POST' == $_SERVER['REQUEST_METHOD']) {

    if(!isset($_POST['senden'])) {
    	exit("Falsches Dokument");
	} else {




		include "sec/verbindung.inc.php";




		$sql = "SELECT id, email FROM daten WHERE email LIKE :idtag"; // '?'% entfernt, placeholder hinzugefügt
		$stmt = $verbindung->prepare($sql);
		// $stmt->bindParam(1, htmlspecialchars($_POST['id-tag'])); 
		$key = ':idtag';
		$val = trim((string)$_POST['id-tag']) . '%'; // trim((string)$_POST['id-tag']), falls user " myEmail@this.com " eingibt
		$stmt->bindParam($key, $val, PDO::PARAM_STR);  
		$stmt->execute();
		$arr = $stmt->fetchAll(PDO::FETCH_ASSOC);




		echo "
		<table border='1'>
			<thead>
				<tr>
					<th>id</th> 
					<th>Email</th>
				</tr>
			</thead>
			<tbody>
		";
		foreach ($arr as $data) {
			echo "
				<tr>
					<td>" . $data['id'] . "</td>
					<td>" . $data['email'] . "</td>
				</tr>
			";
		}
		echo "<tbody></table>";
	}
}

Alles anzeigen

Du kanns allerdings auch ohne bindParam:

PHP

$sql = "SELECT id, email FROM daten WHERE email LIKE :idtag"; // '?'% entfernt, placeholder hinzugefügt
		// parameter array für ->execute() vorbereiten:
		$para = array(
			'idtag' => trim((string)$_POST['id-tag']) . '%'; 
		);
		$stmt = $verbindung->prepare($sql);  
		$stmt->execute($para); // para mit an execute übergeben

Was passiert hier:
Du übergibst (ob per bindParam oder execute($para)) einen String myemail@or.whatever%.
PDO setzt diesen String "intern" so ein:

SQL

SELECT id, email FROM daten WHERE email LIKE '%myemail@or.whatever'

Warum?
Weil alles, was Du per execute($para) oder bindParam($key, $val, PDO::PARAM_STR) übergibst, zwischen Anführungszeichen gesetzt wird -- also al String eingesetzt wird.
Will man etwas anderes als einen String in die Query schreiben lassen (zB für LIMIT :x :y), dann muss man
- bindParam() nutzen
- und bindParam() sagen, was genau man vorhat: zB bindParam($key, $val, PDO::PARAM_INT) -- einen int

Hoffe das hilft.

strong97

Vielen Dank! Aber deine Version hat irgendwo ein Haken. Er zeigt mir keine Datensätze an.

cottton

Vorweg: sorry, hab nen Fehler drin gehabt: das % muss am Ende angehangen werden -- so wie Du es richtig gemacht hast =)

Du prüfst, ob der Wert in $arr größer ist, als 0.
Willst aber sicherlich prüfen, ob:

PHP

if(count($arr) < 1) { echo "Kein Datensatz gefunden"; } // weniger als 1

Oder aber noch einfacher:

PHP

if(empty$arr)) { echo "Kein Datensatz gefunden"; } // empty wäre zB NULL, 0, '', array(), ...

wolf

@cotton in deinem param array fehlt doch der : im key oO

strong97

@cotton: Habe es auch so gemacht bevor du es am Ende schon gesetzt hast (Das Prozentzeichen). Trotzdem zeigt er mir immer noch keine Datensätze an.
Danke für die Hilfe der Abfrage ob ein Datensatz gefunden wurde oder nicht.

cottton

wolf das geht auch ohne =)
Hat den Vorteil, dass man bei dynamischen Scripten den $key nicht immer mit einem : verbinden muss (':' . $key).

@string97 dann sieh am besten mal nach, was für Queries am Server ankommen.
Query log in table:

http://stackoverflow.com/a/14404000/3411766

SQL

-- query log einschalten:
SET global general_log = 1;
-- server soll in table schreiben, anstatt in file:
SET global log_output = 'table';
-- table leeren:
truncate mysql.general_log;




-- jetzt führst du dein script aus und mysql server schreibt alle queries in den table




-- alle queries laden:
select * from mysql.general_log




-- vor neuem versuch table wieder leeren:
truncate mysql.general_log;







-- wenn fertig nicht vergessen logging wieder auszuschalten:
SET global general_log = 0;

Alles anzeigen

Jetzt mitmachen!