3

検索フォームに商品名をの一部でも入力した場合、 その文字列を含むデータがデータベース内に存在する場合は「データベースに登録があります」というメッセージと入力された文字列を含んだデータを全て表示させ、 データベース内に存在しない場合は「データベースに登録がありません」というメッセージを出力させるプログラムです。 (コードは殆ど参考資料そのままで、データベース名とテーブル名のみ個人のものです。)

データベース内には、「りんご」「バナナ」「みかん」のデータが存在しています。

現在、検索フォームに「りんご」と入力すると 「データベースに登録があります」というメッセージは表示されますが、検索結果が表示されません。 また、データベース内に存在しない文字列を入力しても「データベースに登録があります」と表示されます。

fetchAllを使用して全ての結果行を返していると思うのですが、正直なところ自分でも理解しきれておらず原因が分からないので困っています。

以下がコードです。

<?php
//  HTTPヘッダーで文字コードを指定
header("Content-Type:text/html; charset=UTF-8");
?>
<?php
//h()関数の読み込み
require_once 'lib/h.php';
//checkinput()関数の読み込み
require_once 'lib/checkinput.php';

//POSTされたデータのチェック
$_POST = checkinput($_POST);

//三項演算子で検索文字列の有無を判定し処理
$data = isset($_POST['data']) ? trim($_POST['data']) : '';
//入力された検索文字列をexplode()関数で半角スペースで区切って配列に代入
//全角スペースはmb_convert_kana()関数で半角スペースに変換
$datalist = explode(' ', mb_convert_kana($data, 's'));
//値が空の要素を削除
$datalist = array_filter($datalist,function($val){
    return $val != '';
});
//値でソートしてキーを0から振り直す
sort($datalist);
?>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN"
               "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" xml:lang="ja" lang="ja">
<head>
<meta http-equiv="content-type" content="text/html;charset=UTF-8" />
<meta http-equiv="content-script-type" content="text/javascript" />
<meta http-equiv="content-style-type" content="text/css" />
<!--  StyleSheet記述
<link rel="stylesheet" href="./css/main.css" type="text/css" media="all" />
StyleSheet記述  -->
<!-- PAGE TITLE -->
<title>ページタイトル</title>
</head>
<body>
<?php
if(!empty($datalist)){

    try{
        $username = "root";
        $password = "root";
        $pdo = new PDO(
            'mysql:host=localhost;dbname=shop',
            $username,
            $password,
            array(PDO::MYSQL_ATTR_INIT_COMMAND => "SET NAMES utf8"));

        //プリペアドステートメントのエミュレーションを無効にする
        //$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES,false);
        //エラーが発生した場合、例外がスローされるようにする
        $pdo->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION);

        //sql文の準備
        //検索文字列の数だけ[:data0][:data1]…のようにプレースホルダを用意
        $where = '';
        foreach ($datalist as $key => $value){
            $where .= sprintf('AND name LIKE :name%d' , $key);
        }
        $sql = 'SELECT * FROM goods WHERE 1;' . $where;

        $prepare = $pdo->prepare($sql);

        //sql文のプレースホルダに値をバインドしてクエリを実行
        for($i = 0; $i < count($datalist); $i++){
            //検索文字列の中のワイルドカード文字及びエスケープ文字をエスケープ
            $link = preg_replace('/([_%\\\\])/u', '\\\\$1', $datalist[$i]);
            $prepare->bindValue(':name'.$i, '%' .$link .'%', PDO::PARAM_STR);
        }
        $prepare->execute();
        $result = $prepare->fetchAll(PDO::FETCH_ASSOC);

        if(count($result) == 0){
            print '<p>「'.h($data).'」はデータベースに登録がありません</p>';
        }else{
            print '<p>「'.h($data).'」はデータベースに登録がありました</p>';
?>
            <p>検索結果</p>
            <table>
            <tr>
                <th>ID</th>
                <th>商品名</th>
                <th>価格</th>
            </tr>

<?php
            foreach ($result as $row){
?>
            <tr>
                <td><?php h($row['id']) ?></td>
                <td><?php h($row['name']) ?></td>
                <td><?php h($row['price']) ?></td>
            </tr>
<?php
            }
            print '</table>';
        }
//接続でいない場合、PDOException例外がスローされるのでキャッチする
    }catch(PDOException $e){
        print 'エラーが発生しました。。 内容:' . h($e->getMessage());
    }
}
?>
<p>AND検索したい文字列を入力</p>
<form action="list.php" method="POST" >
<input type="search" name ="data">
<input type="submit" value="検索">
</form>
</body>
</html>

どこが間違っているでしょうか? よろしくお願いします。

コメントを頂いたので、h.phpのコードを、追加でcheckinput.phpのコードも付け足しておきます。

h.php

<?php
//htmlでのエスケープ処理
function h($var){
    return htmlspecialchars($var,ENT_QUOTES,'UTF-8');
}
?>

checkinput.php

<?php

//htmlでのエスケープ処理
function checkinput($var){
    if(is_array($var)){
        return array_map('h',$var);
    }else{
        //magic_quotes_gpcへの対策
        if(get_magic_quotes_gpc()){
            $var = stripslashes($var);
        }
        //nullバイト攻撃対策
        //nullバイトを含む制御文字が含まれていないかをチェック(最大1000文字)
        if(preg_match('/\A[\r\n\t[:^cntrl:]]{0,1000}\z/u',$var) == 0){
            die('不正な入力です。');
        }
        //文字エンコードの確認
        if(!mb_check_encoding($var,'UTF-8')){
            die('不正な入力です。');
        }

        return $var;
    }
}
?>
3
  • 念の為、h関数の中身も記載していただけますか。
    – user4986
    Commented 2015年1月5日 1:47
  • 「<?php h($row['id']) ?>」の部分を「<?php print h($row['id']) ?>」としてみて下さい(name, priceも同様)。
    – user4986
    Commented 2015年1月5日 2:01
  • 他の方からもご指摘を頂いた部分ですので直させて頂いてはいるのですが、SQL文のエラーが出てしまって先に進めずにいます。 また、 AND name LINK ? のnameをdataに書きなおしました。(nameのままであれば戻します。) エラーの全文はこちらです。 SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ' AND data LIKE ?' at line 1
    – まふゆ
    Commented 2015年1月5日 2:29

3 件の回答 3

5

データベース内に存在しない文字列を入力しても「データベースに登録があります」と表示されます。

「データベースに登録があります」と表示されるのは他の回答の通り

$sql = 'SELECT * FROM goods WHERE 1;' . $where;

となっているためだと思います。

$where には AND name LIKE :name0 AND name LIKE :name1 のような文字列を入れようとしているみたいなので、

$sql = 'SELECT * FROM goods WHERE 1 ' . $where;

のようになるのが正しいと思います。

が、そもそも $where に入る文字が、

$where = '';
foreach ($datalist as $key => $value){
    $where .= sprintf('AND name LIKE :name%d' , $key);
}

このコードだと AND name LIKE :name0AND name LIKE :name1 のように :name0AND の部分がくっついてしまうので、

$where = '';
foreach ($datalist as $key => $value){
    $where .= sprintf(' AND name LIKE :name%d' , $key);
}

のように修正が必要です。

現在、検索フォームに「りんご」と入力すると 「データベースに登録があります」というメッセージは表示されますが、検索結果が表示されません

echo が足りないため結果が表示されていないのではないでしょうか?

<td><?php h($row['id']) ?></td>
<td><?php h($row['name']) ?></td>
<td><?php h($row['price']) ?></td>

h() の中で echo していないなら echo が必要です。

<td><?php echo h($row['id']) ?></td>
<td><?php echo h($row['name']) ?></td>
<td><?php echo h($row['price']) ?></td>

あるいは下記のように。

<td><?= h($row['id']) ?></td>
<td><?= h($row['name']) ?></td>
<td><?= h($row['price']) ?></td>
3
  • ご指摘通りに直したところ、syntax to use near ' AND name LIKE ?' at line 1(省略)とエラーが出てしまします。 AND name LIKEのnameの部分はカラム名を記述する部分だと認識しているのですが間違いないですか?
    – まふゆ
    Commented 2015年1月5日 2:12
  • $where .= sprintf(' AND name LIKE :name%d' , $key); の行の AND の前の空白が全角文字になっていませんか。半角スペースでないとエラーが出ます。
    – itochan
    Commented 2015年1月5日 2:19
  • AND name LIKEとAND data LIKEの半角スペースと全角スペースの2パターンずつを試させていただきましたが、どちらも同じエラーが出てしまいます。
    – まふゆ
    Commented 2015年1月5日 2:31
4

皆様のご指摘により、無事解決しましたのでまとめさせていただきます。

データベース内に存在しない文字列を入力しても「データベースに登録があります」と表示される問題

こちらに関しまして、

$sql = 'SELECT * FROM goods WHERE 1;' . $where;

1の後に;が入っていることにより、後ろの$whereが適応されなくなっていること、

$where .= sprintf('AND name LIKE :name%d' , $key);

ANDの前に半角スペースが無いことにより、1とANDがくっついてしまうことの2点が問題でした。 したがって、

foreach ($datalist as $key => $value){
            $where .= sprintf(' AND name LIKE :name%d' , $key);
        }
$sql = 'SELECT * FROM goods WHERE 1' . $where;

と直させていただきました。

次に

検索フォームに「りんご」と入力すると 「データベースに登録があります」というメッセージは表示されるが、検索結果が表示されない問題

こちらは、

<td><?php h($row['id']) ?></td>
<td><?php h($row['name']) ?></td>
<td><?php h($row['price']) ?></td>

この記述の中にechoが入っていないことが原因でした。 よって、

<td><?php echo h($row['id']) ?></td>
<td><?php echo h($row['name']) ?></td>
<td><?php echo h($row['price']) ?></td>

このように直させていただきました。

たくさんコメントをくださってありがとうございました。

1
  • 2
    回答の内容が @ngyuki の回答とほぼ同一ですね。おそらく、別の質問で“コメントをまとめてどのように解決したかを書いてく‌​だされば”と指摘されたのをうけてこのまとめを投稿されたのかと思いますが、ある回答で問題が解決したのなら、その回答にチェックを入れるだけで十分です。また、回答についたコメントで解決したなら、その回答を編集して追記したほうがいい場合もあります。あなた自身によるまとめの投稿は「コメントによって問題が解決し、かつ追記するのに適当な回答が他にない」場合のみでお願いします。
    – uasi
    Commented 2015年1月9日 7:03
1

$sql = 'SELECT * FROM goods WHERE 1;' . $where;

すべて見きれてないですが、この部分がおかしいと思います。where 1になっているので、全てが返って来てしまいます。

まずは

$sql = 'SELECT * FROM goods WHERE 1 ' . $where . ';';

のようにするのでいかがでしょう?

4
  • WHEREのあとに=も必要ですね。できればインジェクション対策もしたいところですが。 Commented 2015年1月5日 1:38
  • 一応、「WHERE 1 AND ~」という書き方があるそうで、「『WHERE 1』を付加するメリットは、SELECT文に追加する条件を『AND』で書き始めれば良いということです」だそうです。ただ、この場合は「WHERE 1;」としてしまっているため、後の AND 節が台無しになっているわけですが。
    – user4986
    Commented 2015年1月5日 1:44
  • $sql = 'SELECT * FROM goods WHERE =' . $where . ';'; と記述を直したところ、 syntax to use near '=AND name LIKE ?' at line 1(省略) といったSQL文が違うといったようなエラーになりました。 sprintf('AND name LIKE :name%d' , $key); この書き方について調べてみてもいまいち理解できませんでした。 どうするべきでしょうか?
    – まふゆ
    Commented 2015年1月5日 1:47
  • ANDから$whereが始まっているので、 @heliac2001さんの言うように、1を最初に置く方法に修正します。
    – osamu1203
    Commented 2015年1月5日 1:55

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。