Не строки PHP, как несколько переменных вставки?

Question

Я использую PHP 5.2 с Oracle Database 11.1.

Кодекса

$query = oci_parse($conn, "SELECT * FROM COMMENTS WHERE PINID=$pinID and COMMENTID=$commentID"); 

результаты этой ошибки:

Warning: oci_execute() [function.oci-execute]: ORA-00904: "COMMENTS": invalid identifier in C:\IODwww\hello.php on line 159
^

Но работает это работает отлично:

$query = oci_parse($conn, "SELECT * FROM COMMENTS WHERE PINID=$pinID and COMMENTID=1"); 

Является ли это результатом меня инъекционного несколько переменных в запросе строка, или я делаю какую-то другую ошибку?

Answer 1

Нет проблем с несколькими переменными в строке PHP.

Для отладки проблемы, вы можете попробовать:

var_dump("SELECT * FROM COMMENTS WHERE PINID=$pinID and COMMENTID=$commentID"); 

и посмотреть, если выход действительно соответствует:

string(...) "SELECT * FROM COMMENTS WHERE PINID=1 and COMMENTID=1" 

Единственное, что я могу думать о том, что CommentID пуст или содержит «\ n» или что-то связанное с ним, которое вызывает ошибку.

Код ошибки в базе данных выдает: «Введенное имя столбца отсутствует или недействительно», не имеет для меня никакого смысла, если работает с =1.

Answer 2

Попробуйте поставить переменные в скобках:

$query = oci_parse($conn, "SELECT * FROM COMMENTS WHERE PINID={$pinID} and COMMENTID={$commentID}"); 

Также убедитесь, что $commentID не возвращает пустое значение, которое оставит только COMMENTID= в конце и будет вызывать ошибку при попытке выполнить запрос.

Answer 3

oci_execute() Предупреждение не является предупреждением PHP. В результате возникает что-то не так.

Распечатайте его и взгляните на него.

Answer 4

Для производительности и причин для инъекций SQL, вы должны использовать placeholder variables, например, так:

$query = oci_parse($conn, "SELECT * FROM COMMENTS WHERE PINID = :pinID and COMMENTID = :commentID"); 
oci_bind_by_name($query, ':pinID', $pinID, -1, SQLT_INT); 
oci_bind_by_name($query, ':commentID', $commentID, -1, SQLT_INT); 
oci_execute($query);