[PHP]Konkatenacja - problemy Opcje

[dolar]

Stworzylam sobie taka klase, ktora bedzie obslugiwac mi bazy danych. I podczas tworzenia ostataniej metody insert napotkalam problem. Nie wiem jak powinnam polaczyc te wszystkie zmienne i polecenia. W ogole mam problem z kontatenacja ostatnio ehh. Oto kod:

[PHP] pobierz, plaintext 
class Tabela
{
 
    private $nazwa;
    private $limit = 1;
 
 
    function __construct(String $nazwa)
    {
        $this->nazwa = $nazwa;
    }
 
    function limit(int $ile)
    {
        $this->limit = $ile;
    }
 
    function select(array $kolumny = array('*'))
    {
 
        $zapytanie = "SELECT " . join(',', $kolumny) . " FROM $this->nazwa LIMIT $this->limit";
        $db = Db::getInstance();
        $wynik = mysqli_query($db, $zapytanie);
        return $wynik->fetch_all(MYSQLI_ASSOC);
 
    }
 
 
    function where(string $kolumna, $cos)
    {
        $zapytanie = "SELECT * FROM $this->nazwa WHERE $kolumna='$cos'";
        $db = Db::getInstance();
        $wynik = mysqli_query($db, $zapytanie);
        return $wynik->fetch_all(MYSQLI_ASSOC);
    }
 
    function showKolumns()
    {
        $zapytanie = "SHOW COLUMNS FROM $this->nazwa";
        var_dump($zapytanie);
        $db = Db::getInstance();
        $wynik = mysqli_query($db, $zapytanie);
        return $wynik->fetch_all(MYSQLI_ASSOC);
    }
 
    function insert (array $kolumny, array $wartosc){
      [b]  $zapytanie="INSERT INTO $this->nazwa ".join(',', $kolumny) ."  VALUES '. join(',', $wartosc) .'";[/b] -> tu nie zwraca mi prawidlowego zapytania.
      Powinno to wygladac na przyklad tak: "INSERT INTO `oceny`(`id`, `imie`, `przedmiot`, `ocena`) VALUES ('23', 'Ania', 'matematyka', '5')".
        var_dump($zapytanie);
        $db = Db::getInstance();
        $wynik = mysqli_query($db, $zapytanie);
        return $wynik->fetch_all(MYSQLI_ASSOC);
    }
[PHP] pobierz, plaintext 

Czy sa jakies zlote zasady konkatenacji?

[nospor]

1) Nigdzie nie podales jak odpalasz te metode insert()
2) I czemu VALUE bierzesz wszystko w ciapki? Toz otrzymasz
..VALUES 'somevalue, somevalue2, somevalue2'
Zagladal do manuala jak wyglada poprawna skladnia INSERT .... VALUES ?

[com]

spójrz na to jak koloruje Ci forum tam jest pierwszy błąd

[dolar]

@nospor -> jak nie wezme Value w '' to mi mysql nie chce dodac wartosci.W ogole jak dodac nawiasy dla values i nazw kolumn?

Dobra zrobilam cos takiego, ale nadal mysql krzyczy zeby values byly w nawiasach pojedynczych:

[PHP] pobierz, plaintext 
 
function insert (array $kolumny, array $wartosc){
        $kol=join(', ', $kolumny);
        $war=join(', ', $wartosc);
        $zapytanie="INSERT INTO `$this->nazwa` ($kol) VALUES ($war)";
        var_dump($zapytanie);
        $db = Db::getInstance();
        $wynik = mysqli_query($db, $zapytanie);
        return $wynik;
[PHP] pobierz, plaintext 

Ten post edytował dolar 13.01.2017, 12:21:41

[nospor]

Nie:
$war=join(', ', $wartosc);

a:
$war="'" . join("','", $wartosc) . "'";

[dolar]

[PHP] pobierz, plaintext 
function insert (array $kolumny, array $wartosc){
        $kol=join(', ', $kolumny);
        $war="'".join("','", $wartosc)."'";
        $zapytanie="INSERT INTO `$this->nazwa` ($kol) VALUES ($war)";
        var_dump($zapytanie);
        $db = Db::getInstance();
        $wynik = mysqli_query($db, $zapytanie);
        return $wynik;
 
    }
 
[PHP] pobierz, plaintext 

Dziala! A teraz jeszcze jdeno szybkie pytanie: czy konstruowanie zapytania do bazy tak jak ja to zrobilam, ze zrobilam wczesniej zmienne z interesujacymi mnie wartosciami i pozniej dopiero je wlozylam do zapytania to jest to poprawna forma? Czy nie powinnam ich raczej robic i wszystko pisac jednym ciagiem w zapytaniu? Chodzi mi o $kol i $ war czy mozna je robic czy lepiej unikac takiego rozwiazania?

[viking]

Już to kilka razy wcześniej pisałem że cała ta klasa jest do niczego. Zapewne nie escapujesz wprowadzanych danych. Jak zapiszesz zapytanie insert into .... select...?

[nospor]

Jest to ok i zwieksza to czytelnosc.

Zas tak czy siak calosc nie jest ok bo jestes teraz totalnie podatna na SQL Injection.
Skoro uzywasz mysqli to wypadaloby uzyc bindowania

[dolar]

Już to kilka razy wcześniej pisałem że cała ta klasa jest do niczego. Zapewne nie escapujesz wprowadzanych danych. Jak zapiszesz zapytanie insert into .... select...?

Zdaje sobie sprawe ze nie jest to idealna klasa, ale to tylko moje cwiczenia, nie bede tego uzywac w zadnych projektach itp... na czyms musze sie uczyc.


Zmienialm ten kod na bardzije uniwersalny, czy teraz jest lepszy wydajnosciowo?

[PHP] pobierz, plaintext 
<?php
include '../db.php';
 
class Tabela
{
 
    private $nazwa;
    private $limit = null;
    private $where = null;
    private $order = null;
 
 
    function __construct(String $nazwa)
    {
        $this->nazwa = $nazwa;
    }
 
 
    function showKolumns()
    {
        $zapytanie = "SHOW COLUMNS FROM $this->nazwa";
        $db = Db::getInstance();
        $wynik = mysqli_query($db, $zapytanie);
        return $wynik->fetch_all(MYSQLI_ASSOC);
    }
 
    function limit(int $ile)
    {
        $this->limit = $ile;
    }
 
    function where(string $kolumna, $cos)
    {
 
        $this->where = "$kolumna='$cos'";
 
    }
 
    function order(string $kolumna, string $order)
    {
        $this->order = "$kolumna $order";
    }
 
    function select(array $kolumny = array('*'))
    {
        if ($this->limit != null) {
            $limit = "LIMIT $this->limit";
        } else {
            $limit = null;
        }
 
        if ($this->where != null) {
            $where = "WHERE $this->where";
        } else {
            $where = null;
        }
 
        if ($this->order != null) {
            $order = "ORDER BY $this->order";
        } else {
            $order = null;
        }
 
        $zapytanie = "SELECT " . join(',', $kolumny) . " FROM $this->nazwa " . $where . " " . $order . " " . $limit . "";
        $db = Db::getInstance();
        $wynik = mysqli_query($db, $zapytanie);
        return $wynik->fetch_all(MYSQLI_ASSOC);
 
    }
 
 
    function insert(array $kolumny, array $wartosc)
    {
        $kol = join(', ', $kolumny);
        $war = "'" . join("','", $wartosc) . "'";
        $zapytanie = "INSERT INTO `$this->nazwa` ($kol) VALUES ($war)";
        var_dump($zapytanie);
        $db = Db::getInstance();
        $wynik = mysqli_query($db, $zapytanie);
        return $wynik;
 
    }
 
}
 
[PHP] pobierz, plaintext 

[viking]

Dalej jest podatny na ataki. Tylko po co wymyślać koło na nowo? Skoro się uczysz to nie lepiej od razu dobrze? Ciekawych projektów do obsługi bazy jest od groma.