Как лучше организовать поиск по базе данных?

Question

[sacred1]

Здравствуйте!

Есть input c типом "text"(то бишь поле поиска данных).В самой базе данных 1 таблица с 3 столбцами (Фамилия,Имя,Отчество).

Как лучше организовать sql запрос к этой бд так,чтобы те данные которые ввел пользователь(прим.- Пупкин Вася Алексеевич),можно было разделить на фамилию..имя..и отчество,чтобы можно было в дальнейшим по отдельности сравнить данные. То есть поиск например по Пупкину в таблице Фамилия,такой пользователь есть значит идет следующие условие..уже имя Вася находим в таблице эта имя,если находим такого Васю Пупкина,то выводим его.Вопрос стоит,в том что возможно ли это сделать?ведь все ФИО идет одной переменной,если да,то как это сделать?...больше всего конечно интересует синтаксис..

Сейчас собственно запрос к бд такой :

$sql = "SELECT name,patronymic,surname FROM peoples WHERE name LIKE '$text_search%' OR surname LIKE '$text_search%'";

Но как вы сами понимаете эта никуда не годится,т.к как работает только если вводить данные по отдельности в поле поиска.

Заранее большое спасибо!

Comments

[FanatPHP]

Можно попросить убрать теги mysqli и pdo? спасибо

Answer 1

[Армянское Радио]

Начнем с того, что этот запрос - потенциальная дыра для SQ -инъекций.
Далее, попробуйте искать внутри конкатенации:

select ... from peoples where name||' '||partonymic||' '||surname like '%$text_search%';

Предварительно нужно убрать из $text_search все знаки, кроме букв алфавита, а все пробелы заменить на ровно один пробел.
А чтобы защититься от SQL-инъекции, вы не должны никогда никакой запрос строить путем конкатенации.

Comments

[sacred1]

Хм,ведь в PDO звякой prepare +execute мы избавляемся от "потенциальная дыра для SQ -инъекций."

[Армянское Радио]

sacred1: А в каком месте у вас тут PDO? У вас вместо меток подстановки (placeholders) стоят голые переменные, вместо которых интерпретатор радостно влепит их содержимое, на радость скрипт-киддисам.

[sacred1]

Армянское Радио: PDO есть,но сюда то смысл скидывать?это он вряд ли сделает ведь перед этим будет валидация данных,а prepare как раз подготовит наш SQL запрос,наличие меток ведь необязательна.Но вопрос то не в этом стоял,а в том как организовать и разделить те данные которые ввел пользователь.

[Армянское Радио]

sacred1: Интересно, а как PDO узнает без меток, какая часть запроса является данными, ладно, это оффтопик.
Если пользователь научен вводить данные в формате "фамилия, имя, отчество" - ответ я опубликовал выше, причем поиск будет работать настолько хорошо, что сможет искать всех Викторов Ивановичей, например.

[sacred1]

Спасибо,попробуем.

"А чтобы защититься от SQL-инъекции, вы не должны никогда никакой запрос строить путем конкатенации."То есть по вашему мнению если этот запрос будет строиться по принципу конкатенации,который вы предложили,не будет никакой защиты от SQL-инъекции?Тогда если какой нибудь другой способ оО

[Армянское Радио]

sacred1: пользуйтесь PDO правильно, расставляйте метки.

[sacred1]

Армянское Радио: вы как то сами себе противоречите,с начало "А чтобы защититься от SQL-инъекции, вы не должны никогда никакой запрос строить путем конкатенации.",а теперь про метки :)ну ладно

[Армянское Радио]

sacred1: у нас с вами возникло непонимание:
:text - метка
$text - указание непосредственно вставить значение переменной на это место, без всякого PDO

Answer 2

[Terminaft]

Попробуйте вот так:

$text_search = 'Vasily Pupkin Alexeevich';
$arr_split = preg_split('/\W+/', $text_search);
$search = implode(', ', $arr_split);

$sql = "SELECT .. FROM .. WHERE name IN($search) OR surname IN($search) OR patronymic IN($search)";

Регулярку можно просто на пробел поставить.

Comments

[sacred1]

А как потом градацию условий настроить?Просто ведь если будет к примеру одинаковые фамилия а имя разные(что нам не нужно),а на выходе при таком запросе я так понимаю,он все равно один списком все что нашел по всем столбцам отобразит..