4

1週間前から、PHPの勉強を独学で始めました。
そこでTwitterのようなサービス作成をひとつの目標にして、行っているのですが、一人で解決出来ないところが出てきたので、質問させていただきます。

今現在、ユーザー登録、ログインをし、自分のタイムライン上で、他のユーザーに返信をするというプログラムを書いています。そこで、返信のときに、返信先のIDを格納するための、reply_post_idを設けました。画像のid 14の部分は、member_id 10のユーザがmember_id 8のユーザに返信をしているのですが、それがreply_post_idに反映されていません。下にコードを載せたのですが、どこか間違っているのでしょうか?ご教授よろしくお願い致します。

php

//投稿を記録する 
if(!empty($_POST)){ 
    if($_POST['message'] != ''){ 
        $sql = sprintf('INSERT INTO posts SET member_id=%d,  
            message="%s", reply_post_id=%d, created=NOW()', 
        mysqli_real_escape_string($mysqli,$member['id']), 
        mysqli_real_escape_string($mysqli,$_POST['message']), 
        mysqli_real_escape_string($mysqli,$_POST['reply_post_id']) 
        ); 
        mysqli_query($mysqli,$sql) or die($mysqli_error()); 
        header('Location: index.php'); 
        exit(); 
    } 
} 

html

<input type="hidden" name="reply_post_id" value=" <?php echo 
isset($_REQUEST['res']) ? htmlspecialchars($_REQUEST['res'],ENT_QUOTES,'UTF-8'):"" ; ?>" />

画像の説明をここに入力

1

1 件の回答 1

3

$_REQUEST['res']の由来がわからないのですが、reply_post_idフィールドが空になっているか文字列になっているのではないでしょうか。ブラウザでフォームを表示した状態でソースを確認してみてください。

(スペースがあるのは好ましくないですが、動くはずなのですが…)

なお、SQLをsprintfで組み立てるとSQLインジェクションのリスクがありますので、

$sql = 'INSERT INTO posts (member_id, message, reply_post_id,created) VALUES (?, ?, ?, NOW())';
$stmt = mysqli_prepare($sql);
mysqli_stmt_bind_param($stmt, "i", $member['id']);
mysqli_stmt_bind_param($stmt, "s", $_POST['message']);
mysqli_stmt_bind_param($stmt, "i", $_POST['reply_post_id']);
mysqli_stmt_execute($stmt);
mysqli_stmt_close($stmt);

のようにバインド機構を使用しましょう

なお、webアプリケーションは注意しないと簡単にセキュリティホールを作り込んでしまいます。少なくともIPAの安全なwebサイトの作り方は読んだ方がよいでしょう。「体系的に学ぶ 安全なWebアプリケーションの作り方」(ISBN 4797361190)など信頼できる書籍で勉強されることをお勧めします。

1
  • アドバイスありがとうございます。セキュリティに関しても、考えてみます。
    – Yuiki
    Commented 2015年4月24日 2:30

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。