Skip to main content
本文に 208 文字追加
ソース リンク
suzukis
  • 1.2万
  • 2
  • 16
  • 48

$_REQUEST['res']の由来がわからないのですが、reply_post_idフィールドが空になっているか文字列になっているのではないでしょうか。ブラウザでフォームを表示した状態でソースを確認してみてください。

(スペースがあるのは好ましくないですが、動くはずなのですが…)

なお、SQLをsprintfで組み立てるとSQLインジェクションのリスクがありますので、

$sql = 'INSERT INTO posts (member_id, message, reply_post_id,created) VALUES (?, ?, ?, NOW())';
$stmt = mysqli_prepare($sql);
mysqli_stmt_bind_param($stmt, "i", $member['id']);
mysqli_stmt_bind_param($stmt, "s", $_POST['message']);
mysqli_stmt_bind_param($stmt, "i", $_POST['reply_post_id']);
mysqli_stmt_execute($stmt);
mysqli_stmt_close($stmt);

のようにバインド機構を使用しましょう

なお、webアプリケーションは注意しないと簡単にセキュリティホールを作り込んでしまいます。少なくともIPAの安全なwebサイトの作り方は読んだ方がよいでしょう。「体系的に学ぶ 安全なWebアプリケーションの作り方」(ISBN 4797361190)など信頼できる書籍で勉強されることをお勧めします。

$_REQUEST['res']の由来がわからないのですが、reply_post_idフィールドが空になっているか文字列になっているのではないでしょうか。ブラウザでフォームを表示した状態でソースを確認してみてください。

(スペースがあるのは好ましくないですが、動くはずなのですが…)

なお、SQLをsprintfで組み立てるとSQLインジェクションのリスクがありますので、

$sql = 'INSERT INTO posts (member_id, message, reply_post_id,created) VALUES (?, ?, ?, NOW())';
$stmt = mysqli_prepare($sql);
mysqli_stmt_bind_param($stmt, "i", $member['id']);
mysqli_stmt_bind_param($stmt, "s", $_POST['message']);
mysqli_stmt_bind_param($stmt, "i", $_POST['reply_post_id']);
mysqli_stmt_execute($stmt);
mysqli_stmt_close($stmt);

のようにバインド機構を使用しましょう

$_REQUEST['res']の由来がわからないのですが、reply_post_idフィールドが空になっているか文字列になっているのではないでしょうか。ブラウザでフォームを表示した状態でソースを確認してみてください。

(スペースがあるのは好ましくないですが、動くはずなのですが…)

なお、SQLをsprintfで組み立てるとSQLインジェクションのリスクがありますので、

$sql = 'INSERT INTO posts (member_id, message, reply_post_id,created) VALUES (?, ?, ?, NOW())';
$stmt = mysqli_prepare($sql);
mysqli_stmt_bind_param($stmt, "i", $member['id']);
mysqli_stmt_bind_param($stmt, "s", $_POST['message']);
mysqli_stmt_bind_param($stmt, "i", $_POST['reply_post_id']);
mysqli_stmt_execute($stmt);
mysqli_stmt_close($stmt);

のようにバインド機構を使用しましょう

なお、webアプリケーションは注意しないと簡単にセキュリティホールを作り込んでしまいます。少なくともIPAの安全なwebサイトの作り方は読んだ方がよいでしょう。「体系的に学ぶ 安全なWebアプリケーションの作り方」(ISBN 4797361190)など信頼できる書籍で勉強されることをお勧めします。

ソース リンク
suzukis
  • 1.2万
  • 2
  • 16
  • 48

$_REQUEST['res']の由来がわからないのですが、reply_post_idフィールドが空になっているか文字列になっているのではないでしょうか。ブラウザでフォームを表示した状態でソースを確認してみてください。

(スペースがあるのは好ましくないですが、動くはずなのですが…)

なお、SQLをsprintfで組み立てるとSQLインジェクションのリスクがありますので、

$sql = 'INSERT INTO posts (member_id, message, reply_post_id,created) VALUES (?, ?, ?, NOW())';
$stmt = mysqli_prepare($sql);
mysqli_stmt_bind_param($stmt, "i", $member['id']);
mysqli_stmt_bind_param($stmt, "s", $_POST['message']);
mysqli_stmt_bind_param($stmt, "i", $_POST['reply_post_id']);
mysqli_stmt_execute($stmt);
mysqli_stmt_close($stmt);

のようにバインド機構を使用しましょう