Как правильно сделать такой поиск?

Question

[Аннушка ❤️]

День добрый! У меня есть такой поиск:

$search   = _string($_POST['search_string']);
$account = $mysqli -> query('SELECT * FROM `users` WHERE `login` LIKE "'.$search.'%" ORDER BY `id` DESC');
while ( $row = $account -> fetch_assoc() ) {
    echo $row['login'].'<hr>';
}

Но как сделать правильно его для чата например? А то я делаю только так и получается что ищется кто первый попадется:

$search   = _string($_POST['search_string']);
$chat_result = $mysqli -> query('SELECT * FROM `chat` WHERE `user_id` IN (SELECT `id` FROM `users` WHERE `login` LIKE "'.$search.'%") ORDER BY `time` DESC ');
while ( $row = $chat_result-> fetch_assoc() ) {
    echo $row['user_id'].'<hr>';
}

Comments

[Ипатьев]

должно искать всех
проверяйте код на дурацкие ошибки, типа наличия других юзеров в таблице

[Ипатьев]

и у меня есть большое подозрение, что функция _string является бессмысленной

[Аннушка ❤️]

Ипатьев, там filter_var стоит

[Ипатьев]

ну так и есть, абсолютно бессмысленная. надо её убрать

[Аннушка ❤️]

Ипатьев, можете объяснить почему? Потому что мне говорили что на каждый запрос, гет/пост фильтр делать

[Ипатьев]

Это действительно говорят очень часто. Потому что дураков в мире вообще много, и они очень любят поговорить.
В действительности же, никаких "фильтров" для гет/пост делать не нужно (кроме очевидных проверок наличия ожидаемых данных и их формата).
Кроме того, функция filter_var сама по себе бессмысленная, она вообще ни для чего не годится, ни для запросов, ни для гет/пост.

"Фильтр", который действительно надо делать - это защита SQL запросов. Только это называется не фильтром, а подготовленными выражениями. Пример можно посмотреть здесь

[Аннушка ❤️]

Ипатьев, буду изучать данную тему. Но, а с моей задачей как быть?

[ThunderCat]

miss_allegory,

Но, а с моей задачей как быть?

Прочитать что такое подготовленные выражения и сделать нормально.

[Ипатьев]

miss_allegory, я писал выше, сама по себе логика запроса должна работать.
то есть причина не в нём.
скорее всего просто нету других юзеров в таблице

[Аннушка ❤️]

Ипатьев, я специально сделала дополнительные аккаунты для проверки, но почему ищет только admin, а arbbc не ищет

[ThunderCat]

miss_allegory, мне вот интересно, вы же делаете запрос в бд, причем вслепую, так как вы не знаете что будет в запросе в результате работы всего вашего кода. Не приходило в голову посмотреть что за запрос у вас выполняется и, например, вставить его в пхпмайадмин или консоль мускуля?

Answer 1

[ThunderCat]

Учимся думать:

$search   = _string($_POST['search_string']);
$sql = '
SELECT * 
FROM `chat` 
WHERE `user_id` IN (
   SELECT `id` 
   FROM `users` 
   WHERE `login` LIKE "'.$search.'%"
) 
ORDER BY `time` 
DESC '; // делаем запрос отдельной строкой,
var_dump($sql);
//вставив в него переменную убеждаемся что там ерунда

//пишем нормально
$search   = $_POST['search_string'].'%';
$sql = '
SELECT * 
FROM `chat` 
WHERE `user_id` IN (
   SELECT `id` 
   FROM `users` 
   WHERE `login` LIKE ?
) 
ORDER BY `time` 
DESC '; 
$stmt = $mysqli->prepare($sql);
$stmt->bind_param('s', $search);
$chat_result = $stmt->execute();
while ( $row = $chat_result->fetch_assoc() ) {
    echo $row['user_id'].'<hr>';
}

ps: и нет смысла делать серч через пост запрос, лучше через гет, так поисковый запрос можно например переслать или скопировать и переиспользовать.

Comments

[Ипатьев]

надо только $search.'%' убрать из bind_param, она не принимает выражения, а только переменные, потому что по ссылке

[ThunderCat]

Ипатьев, хм, действительно, как то не задумывался что там ссылочная переменная... Поправил.

[Аннушка ❤️]

Результат тот же, мне нужно например чтобы искало всех пользователей у которых например логин начинается на: ab (...5t2, ...gfs, ...cxv) или cd (...12, ...63, ...hjg)

[ThunderCat]

miss_allegory, результат тот же, по тому что вы смотрите невнимательно. Уберите свою фантастически полезную функцию _string, и для начала проверьте что вообще у вас приходит в пост, вполне возможно что там совершенно не то что вы ожидаете (кода фронтенда у нас нет, так что можно только гадать что и как у вас там накручено).

[Аннушка ❤️]

ThunderCat,

function _string ($string) {
    return filter_var($string, FILTER_SANITIZE_STRING);
}

[ThunderCat]

miss_allegory, зачем мне это? Я вроде написал что проверить надо что пришло в пост запросе.
var_dump($_POST);вполне достаточно. Такая штука называется отладка - вы проверяете что на всех этапах у вас нет неожиданных значений. У вас они очевидно есть, по этому - что? Правильно, отладка, отладка, и еще отладка. Ну и код правильно перенесите.

[ThunderCat]

miss_allegory, пример почему ваш фильтр в данном случае полное говно:

$searchString = 'Üßärblöck';
$string = filter_var($searchString, FILTER_SANITIZE_STRING);
var_dump($string);
// result : rblck

$searchString = 'мамамия!';
$string = filter_var($searchString, FILTER_SANITIZE_STRING);
var_dump($string);
// result : !

[Аннушка ❤️]

ThunderCat,

[ThunderCat]

miss_allegory, только не на всех серверах (скорее на дефолтном сервере будет именно фигня), и не на всех версиях пхп, это раз. И раз пошла такая пьянка -

Deprecated: Constant FILTER_SANITIZE_STRING is deprecated in /home/user/scripts/code.php on line 3
string(13) "Üßärblöck"

это два. Использовать мануалы двухтысячных годов при разработке как минимум небезопасно, ну или не использовать учебные пособия от "гуру", основанные на этих мануалах.

[Ипатьев]

Что характерно, девушка прислушалась к совету.
И, судя по её последнему вопросу, стала использовать мануалы из 90-х!