Vorbereitete Anweisungen

<?php

// Sechs Notizen von drei Leuten. Einer davon traegt einen
// Apostroph im Namen, und darum geht es in dieser Lektion.
//
// Die Tabelle wird bei jedem Lauf neu aufgebaut. An dieser Datei
// aenderst du nichts.

$db = new PDO("sqlite:" . __DIR__ . "/daten.db", null, null, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
]);

$db->exec("DROP TABLE IF EXISTS notizen");
$db->exec("CREATE TABLE notizen (
    id INTEGER PRIMARY KEY,
    titel TEXT NOT NULL,
    verfasser TEXT NOT NULL
)");

$einfuegen = $db->prepare("INSERT INTO notizen (titel, verfasser) VALUES (?, ?)");

foreach ([
    ["Milch", "Mia"],
    ["Brot", "O'Brien"],
    ["Kaffee", "Mia"],
    ["Tee", "O'Brien"],
    ["Kerzen", "Mia"],
    ["Seife", "Ben"],
] as $notiz) {
    $einfuegen->execute($notiz);
}

<?php

// Derselbe Name, zweimal gesucht. Der Verfasser heisst O'Brien, und
// dieser eine Apostroph ist alles, was es braucht.

require __DIR__ . "/vorbereiten.php";

$name = "O'Brien";

echo "Zusammengeklebt:\n";

try {
    $zeilen = $db->query("SELECT titel FROM notizen WHERE verfasser = '" . $name . "'")->fetchAll();
    echo "  ", implode(", ", array_column($zeilen, "titel")), "\n";
} catch (PDOException $e) {
    echo "  ", $e->getMessage(), "\n";
}

echo "\nMit Platzhalter:\n";

$abfrage = $db->prepare("SELECT titel FROM notizen WHERE verfasser = :name");
$abfrage->execute([":name" => $name]);

echo "  ", implode(", ", array_column($abfrage->fetchAll(), "titel")), "\n";

echo "\nUnd so sieht die zusammengeklebte Abfrage aus, wenn man sie ausschreibt:\n";
echo "  SELECT titel FROM notizen WHERE verfasser = '", $name, "'\n";

<?php

// Sechs Notizen von drei Leuten. Einer davon traegt einen
// Apostroph im Namen, und darum geht es in dieser Lektion.
//
// Die Tabelle wird bei jedem Lauf neu aufgebaut. An dieser Datei
// aenderst du nichts.

$db = new PDO("sqlite:" . __DIR__ . "/daten.db", null, null, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
]);

$db->exec("DROP TABLE IF EXISTS notizen");
$db->exec("CREATE TABLE notizen (
    id INTEGER PRIMARY KEY,
    titel TEXT NOT NULL,
    verfasser TEXT NOT NULL
)");

$einfuegen = $db->prepare("INSERT INTO notizen (titel, verfasser) VALUES (?, ?)");

foreach ([
    ["Milch", "Mia"],
    ["Brot", "O'Brien"],
    ["Kaffee", "Mia"],
    ["Tee", "O'Brien"],
    ["Kerzen", "Mia"],
    ["Seife", "Ben"],
] as $notiz) {
    $einfuegen->execute($notiz);
}

<?php

// Kein Angriff auf jemanden, sondern eine Vorfuehrung an der eigenen
// Datenbank: Was passiert, wenn ein Wert ein Befehl sein darf.

require __DIR__ . "/vorbereiten.php";

$eingabe = "' OR 1=1 --";

echo "Die Datenbank hat ", $db->query("SELECT count(*) FROM notizen")->fetchColumn(), " Notizen.\n";
echo "Gesucht wird nach einem Verfasser, den es nicht gibt:\n";
echo "  ", $eingabe, "\n\n";

$zusammengeklebt = "SELECT titel FROM notizen WHERE verfasser = '" . $eingabe . "'";

echo "Zusammengeklebt ergibt das diese Abfrage:\n";
echo "  ", $zusammengeklebt, "\n";
echo "  Treffer: ", count($db->query($zusammengeklebt)->fetchAll()), "\n\n";

$abfrage = $db->prepare("SELECT titel FROM notizen WHERE verfasser = :name");
$abfrage->execute([":name" => $eingabe]);

echo "Mit Platzhalter bleibt es eine Suche nach einem seltsamen Namen:\n";
echo "  Treffer: ", count($abfrage->fetchAll()), "\n";

<?php

// Sechs Notizen von drei Leuten. Einer davon traegt einen
// Apostroph im Namen, und darum geht es in dieser Lektion.
//
// Die Tabelle wird bei jedem Lauf neu aufgebaut. An dieser Datei
// aenderst du nichts.

$db = new PDO("sqlite:" . __DIR__ . "/daten.db", null, null, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
]);

$db->exec("DROP TABLE IF EXISTS notizen");
$db->exec("CREATE TABLE notizen (
    id INTEGER PRIMARY KEY,
    titel TEXT NOT NULL,
    verfasser TEXT NOT NULL
)");

$einfuegen = $db->prepare("INSERT INTO notizen (titel, verfasser) VALUES (?, ?)");

foreach ([
    ["Milch", "Mia"],
    ["Brot", "O'Brien"],
    ["Kaffee", "Mia"],
    ["Tee", "O'Brien"],
    ["Kerzen", "Mia"],
    ["Seife", "Ben"],
] as $notiz) {
    $einfuegen->execute($notiz);
}

<?php

// Einmal vorbereiten, dreimal ausfuehren. Und zwei Schreibweisen
// fuer Platzhalter.

require __DIR__ . "/vorbereiten.php";

$abfrage = $db->prepare("SELECT titel FROM notizen WHERE verfasser = :name ORDER BY id");

foreach (["Mia", "Ben", "O'Brien"] as $name) {
    $abfrage->execute([":name" => $name]);

    echo str_pad($name . ":", 10), implode(", ", array_column($abfrage->fetchAll(), "titel")), "\n";
}

echo "\nDer Doppelpunkt im Array darf auch weg:\n";

$abfrage->execute(["name" => "Mia"]);
echo "  ", implode(", ", array_column($abfrage->fetchAll(), "titel")), "\n";

echo "\nUnd statt Namen gehen Fragezeichen, dann zaehlt die Reihenfolge:\n";

$zwei = $db->prepare("SELECT titel FROM notizen WHERE verfasser = ? AND titel = ?");
$zwei->execute(["Mia", "Kaffee"]);

echo "  ", implode(", ", array_column($zwei->fetchAll(), "titel")), "\n";

<?php

// Sechs Notizen von drei Leuten. Einer davon traegt einen
// Apostroph im Namen, und darum geht es in dieser Lektion.
//
// Die Tabelle wird bei jedem Lauf neu aufgebaut. An dieser Datei
// aenderst du nichts.

$db = new PDO("sqlite:" . __DIR__ . "/daten.db", null, null, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
]);

$db->exec("DROP TABLE IF EXISTS notizen");
$db->exec("CREATE TABLE notizen (
    id INTEGER PRIMARY KEY,
    titel TEXT NOT NULL,
    verfasser TEXT NOT NULL
)");

$einfuegen = $db->prepare("INSERT INTO notizen (titel, verfasser) VALUES (?, ?)");

foreach ([
    ["Milch", "Mia"],
    ["Brot", "O'Brien"],
    ["Kaffee", "Mia"],
    ["Tee", "O'Brien"],
    ["Kerzen", "Mia"],
    ["Seife", "Ben"],
] as $notiz) {
    $einfuegen->execute($notiz);
}

<?php

// Ein Platzhalter steht fuer einen Wert. Fuer nichts sonst.

require __DIR__ . "/vorbereiten.php";

echo "Ein Prozentzeichen fuer LIKE gehoert in den Wert:\n";

$suche = $db->prepare("SELECT titel FROM notizen WHERE titel LIKE :teil ORDER BY id");
$suche->execute([":teil" => "%ee%"]);

echo "  LIKE :teil mit dem Wert %ee%  ->  ";
echo implode(", ", array_column($suche->fetchAll(), "titel")), "\n";

echo "\nSteht es dagegen im SQL, ist der Platzhalter keiner mehr:\n";

try {
    $falsch = $db->prepare("SELECT titel FROM notizen WHERE titel LIKE '%:teil%' ORDER BY id");
    $falsch->execute([":teil" => "ee"]);
    echo "  durchgelaufen\n";
} catch (PDOException $e) {
    echo "  ", $e->getMessage(), "\n";
}

echo "\nUnd ein Spaltenname ist kein Wert. Das hier sortiert nicht,\n";
echo "und es beschwert sich auch nicht:\n";

$sortiert = $db->prepare("SELECT titel FROM notizen ORDER BY ?");
$sortiert->execute(["titel"]);

echo "  ORDER BY ? mit dem Wert titel  ->  ";
echo implode(", ", array_column($sortiert->fetchAll(), "titel")), "\n";

echo "  ORDER BY titel ausgeschrieben  ->  ";
echo implode(", ", array_column($db->query("SELECT titel FROM notizen ORDER BY titel")->fetchAll(), "titel")), "\n";