Пытаюсь сделать что-то вроде квери билдера через PDO, но есть проблемы?

Question

[_ umr]

Это метод из класса, который отвечает за добавление записи в таблицу (это еще через mysqli):

public static function set($table, $fields = []) {
		$query = "INSERT INTO ".$table." (";
		$last = end($fields);
		foreach ($fields as $key => $value) {
			if($value != $last) {
				$query .= "`".$key."`,";
			} else {
				$query .="`".$key."`";
			}
		}
		$query .= ") VALUES (";
		foreach ($fields as $key => $value) {
			if($value != $last) {
				$query .= "'".$value."',";
			} else {
				$query .= "'".$key."'";
			}
		}
		$query .= ")";
		$msq = mysqli_query(Database::mysqlConnector(), $query);
		if(mysql) {
			return true;
		}
	}

Код кривой косой. Поэтому я решил переписать его через PDO, но понять не могу. Сделал то же самое почти, но так:

public static function set($table, $fields = []) {
		$query = "INSERT INTO ".$table." (";
		$last = end($fields);
		$pdo = Database::mysqlConnector();
		foreach ($fields as $key => $value) {
			if($value != $last) {
				$query .= $pdo->quote($key).",";
			} else {
				$query .= $pdo->quote($key);
			}
		}
		$query .= ") VALUES (";
		foreach ($fields as $key => $value) {
			if($value != $last) {
				$query .= $pdo->quote($value).",";
			} else {
				$query .= $pdo->quote($value);
			}
		}
		$query .= ")";
		$msq = $pdo->exec($query);
		if(msq) {
			return true;
		}
	}

И теперь он ругается на синтаксис. Гуглил, нагуглил плейсхолдеры, но с этим тоже у меня не вышло, хотя делал все по статье и не одной. Куда мне смотреть?

Comments

[FanatPHP]

Я все могу понять кроме фразы про кривой код. Каким местом под на ПДО даже теоретически, если бы он даже заработал, прямее чем предыдущий?

То есть какой смысл переписывать под другой драйвер оставляя тот же самый кривой код?

Answer 1

[kpa6uu]

$pdo->qoute
$pdo->quote

Может в этом проблема?)

Comments

[_ umr]

не в коде я правильно написал, тут я в ручную переписывал

[kpa6uu]

_ umr: можно посмотреть готовый запрос и ошибку, которую выплёвывает бд?

[_ umr]

kpa6uu:
Странно что через мускул запрос так же формировался и все работало, а тут я просто использовал фукнцию pdo quote для экранирования и все пошло к чертям

Fatal error: Uncaught PDOException: SQLSTATE[42000]: Syntax error or access violation: 1064 
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server
 version for the right syntax to use near ''username','email','text','img','title') VALUES 
('eeqw','ewqeqw@dasdas','dasdasd' at line 1 in

[_ umr]

kpa6uu: готовый запрос, который формирует PDO quote я скинуть не могу, так как код падает до полного формирования запроса, а вот первый метод в вопросе для мускула, который формирует годный обычный запрос для добавления записи

[Олег]

_ umr: Для наименований столбцов в MySQL используются косые ковычки ``.

[_ umr]

Олег: я понял, но в видео чувак говорил, что pdo экранирует в зависимости от дравйера используемого.

[kpa6uu]

_ umr: скинь вызов метода, на котором всё падает

[_ umr]

kpa6uu:

public function Action_post() {
		$newRecord = Model_task::set('task', 
			['username' => $_POST['username'], 
			'email'     => $_POST['email'], 
			'text'      => $_POST['text'], 
			'img'       => FileUploader::upload(), 
			'title'     => $_POST['title']]);

		Redirect::to('/', $newRecord);
	}

[kpa6uu]

_ umr: stackoverflow.com/questions/13448274/escaping-colu...

Yes, PDO does not have a builtin function for delimiting identifiers like table names and column names. The PDO::quote() function is only for string literals and date literals.

foreach ($fields as $key => $value) {
			if($value != $last) {
				$query .= $key.",";
			} else {
				$query .= $key;
			}
		}

Затестил, работает

[kpa6uu]

Т.е. получалось вот это

INSERT INTO useful_links ('type_id','link') VALUES ('3','qwerty')

Вместо

INSERT INTO useful_links (`type_id`,`link`) VALUES ('3','qwerty')

Answer 2

[Сергей Семенко]

А какой смысл?

Если на то пошло, можно сделать примерно так:

public function insert($table, $attrs)
{
    $columns = implode(', ', array_keys($attrs));
    $placeholders = implode(', ', array_fill(0, count($attrs), '?'));
    $query = sprintf('INSERT INTO %s (%s) VALUES (%s)', $table, $columns, $placeholders);
    return $pdo->prepare($query)->execute(array_values($attrs));
}

P.S. Код не проверял

А проблема из-за $pdo->quote для имен столбцов.

Comments

[FanatPHP]

ага и получить инъекцию

[FanatPHP]

return отдельно доставляет :)

[_ umr]

FanatPHP: а чо ты предлагаешь?

[Сергей Семенко]

FanatPHP: откуда инъекция? Использовать нужно примерно так:

$object->insert('articles', [
    'title' => ...
]);

То есть только значения потенциально опасны, с этим проблем не будет.

А что с return не так? $pdo->prepare() может вернуть false, так что это нужно учесть.

[FanatPHP]

ЧТО нужно учесть? Что изменится, если просто написать return $sth->execute? :)

[Сергей Семенко]

FanatPHP: если $sth будет false - получим ошибку.

[FanatPHP]

Даааа? И какую именно?

[Сергей Семенко]

FanatPHP: типа такого: Call to a member function on a non-object

[FanatPHP]

то есть у вас не включены исключения для пдо?
а как вы узнаете о произошедших ошибках?

[Сергей Семенко]

FanatPHP: у меня может и включены, но на счёт других я не уверен. А ошибку можно получить через PDO::errorInfo()

[FanatPHP]

понимаю. технологии каменного века

[Сергей Семенко]

FanatPHP: возможно, даже ответ обновил, чтобы не возникало недоразумений :)