Почему возникает ошибка SQLSTATE[42000] при запросе обновления в базе данных?

Question

[Дмитрий Гусев]

Добрый день!

Пытаюсь обновить информацию в базе данных через php скрипт, но получаю ошибку:

Fatal error: Uncaught PDOException: SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near 'WHERE id = 1 SET content = '

Информацию из базы получаю, редактирую, записываю в переменную и далее пытаюсь обновить.
Сам скрипт:

$dbh = new PDO('mysql:dbname=database;host=localhost', 'usr', 'password');
$sth = $dbh->prepare("SELECT id, content FROM posts WHERE visibility = '1'");
$sth->execute();
$posts = $sth->fetchAll(PDO::FETCH_ASSOC);

Манипуляции c content

 $res = $dbh->query("UPDATE posts SET content = $content WHERE id = $id");

    if ($res === FALSE) {
        echo mysqli_error($dbh) . PHP_EOL;
    } else {
        echo "Пост - " . $id . PHP_EOL;
    }

Запрос напрямую в БД через phpmyadmin работает. Тип переменных: id (int), content (string)

Comments

[FanatPHP]

потому что where идёт после set?

[FanatPHP]

но главное, что тут конечно убивает - это ЗАЧЕМ здесь PDO, если все равно никакой защиты от инъекций не используется?

причем судя по mysqli_error, вы вообще не понимаете, что это за код? Откуда вы его взяли? И зачем?

[Дмитрий Гусев]

FanatPHP, потому что where идёт после set?
не имеет значения
Пример для учебы, пока без защиты

[FanatPHP]

Дмитрий Гусев, ой какая милота! Да у нас тут крупный эксперт по синтаксису SQL!

А, я понял.
Ну да, в смысле ошибки-то без разницы - и так и так выдаёт. Тут не поспоришь. Когда в трех строчках 15 ошибок, то действительно разницы не будет если одну исправить

[Дмитрий Гусев]

FanatPHP, спасибо, я про ошибку имел ввиду и поправил синтаксис

Answer 1

[Дмитрий Гусев]

Работает вот так:

$dbh = new PDO('mysql:dbname=database;host=localhost', 'usr', 'password');
$sth = $dbh->query("SELECT id, content FROM posts WHERE visibility = '1'");
$sth->execute();
$posts = $sth->fetchAll(PDO::FETCH_ASSOC);

Манипуляции c content

 $res = $dbh->prepare("UPDATE posts SET content = $content WHERE id = $id");

    if ($res === FALSE) {
        echo mysqli_error($dbh) . PHP_EOL;
    } else {
        echo "Пост - " . $id . PHP_EOL;
    }

Comments

[FanatPHP]

так не работает, не надо позориться

Answer 2

[FanatPHP]

Потому что бессмысленный говнокод.
У меня племянница трёхлетняя так дом строит: деревья, мишку плюшевого, колеса от грузовика - всё в дело идёт.
Но ей хотя бы ума хватает не класть сверху мороженое. А тут всё вперемешку - SQL кривой, prepare используется там где не нужно, и не используется где нужно, каким-то боком mysqli...

Переменные не пишут прямо в запрос. А передают отдельно. Потому что именно от этого все ошибки и происходят.
И как раз для этого и используют PDO, с pepare и execute

$options = [
    \PDO::ATTR_ERRMODE            => \PDO::ERRMODE_EXCEPTION,
    \PDO::ATTR_DEFAULT_FETCH_MODE => \PDO::FETCH_ASSOC,
    \PDO::ATTR_EMULATE_PREPARES   => false,
];
$dbh = new PDO('mysql:dbname=database;host=localhost;charset=$charset', 'usr', 'password', $options);

$stmt = $dbh->prepare("UPDATE posts SET content = ? WHERE id = ?");
$stmt->execute([$content,$id]);
echo "Пост - " . $id . PHP_EOL;