SQL文のORDER BYでabs()を用いた近似値の探索をしようとしています。
SQLインジェクション対策として、abs()をプレースホルダーとして渡すようにコーディングしましたが、%sの文字列がシングルクォーテーションで括られるためうまく動きませんでした。
// 1
// $keyは可変
$abs = "abs(" . $key . " - 80)";
$query = "SELECT * FROM $wpdb->hardness_table ORDER BY %s LIMIT 1";
$sql = $wpdb->prepare($query,$abs);
$rows = $wpdb->get_results($sql);
// SQL文が"SELECT * FROM $wpdb->hardness_table ORDER BY 'abs(abc - 80)' LIMIT 1" となる
やむを得ず下記のように直接文章内に変数を配置したら動きますが、warning文が出る状態です。
// 2
$abs = "abs(" . $key . "- 80)";
$query = "SELECT * FROM $wpdb->hardness_table ORDER BY $abs LIMIT 1";
$sql = $wpdb->prepare($query);
$rows = $wpdb->get_results($sql);
上記のようにプレースホルダーを用いた状態でabs()の計算をさせることは可能でしょうか。または2のコードのように直接書いても問題はないのでしょうか。
ご教示いただければと思います。
// 1
でも// 2
でも問題なのは、$abs
が文字列演算で作られている点です。プレースホルダーベースでSQLインジェクション対策を行いたいのであれば、たとえSQLの一部であっても文字列演算で作ってはいけません。その観点で、コメントに記載された// 1
のSQL文を見ると、まるで$key
に'abs'
と言う文字列が入っているかのように見えるのですが、$key
は実際にはどのような値をとるのでしょうか? 必ず整数値になるならそれを%d
で埋め込むだけですが、任意のカラム名が文字列で入る可能性があると言うのでしたら、設計自体を根本的に変更しないといけないかもしれません。