Объясните странное поведение INSERT в mysql_query?

Question

[Сергей Ноздрин]

Здравствуйте!

Пилю я тут 1 проект и встала такая задача: «Получить от пользователя строку с хеш-тегами через запятую и записать их по 1 в таблицу БД. Таблица содержит всего 2 столбца: ident и hash_tag. Ident — идентификатор того, к чему относятся хеш-теги, ну а hash_tag — это каждый отдельный хеш-тег»

Я написал скрипт:

$idea_hash = "слово1, слово2, слово3";
$idea_count = 3


$mass = explode(',', $idea_hash);

foreach($mass as $n)

	{

mysql_query("INSERT INTO hashes (ident, hash_tag) VALUES('$idea_count','$n')");

	}

Но при запуске в БД записывается только 1 слово из всех:

3 — слово1

Хотя я бы хотел видеть 3 строки:

3 — слово1
3 — слово2
3 — слово3

При этом цикл явно обрабатывается корректно. Но на 2 и 3 — ем шаге в базу почему-то ничего не записывается.

Comments

[Артур Борденюк]

Пора завязывать с mysql_query

Answer 1

[Степан]

Таблица пустая? hash_tag не уникален случайно?
1. Для отладки сделайте

mysql_query("INSERT INTO hashes (ident, hash_tag) VALUES('$idea_count','$n')") or die(mysql_error());

2. У вас будет очень много тегов? Зачем дублировать данные еще и текстовые? Не легче ли создать еще одну связную таблицу с самими тегами, а в основной прописывать ident, hash_tag_ident?

Comments

[Сергей Ноздрин]

Ident было уникальным, спасибо.

Answer 2

[KEKSOV]

А часом у Вас на поле ident нет ли уникального индекса? А то Вы записываете три записи с одинаковым значением $idea_count — в вашем случае 3.

Надеюсь приведенный фрагмент кода это просто тест, а не кусок из вашего проекта? В противном случае это одно большое отверстие в безопасности сайта ;) Переходите на использование mysqli и prepared выражений. Это резко повысит скорость выполнения запросов и избавит проект от большого числа проблем с безопасностью.

Comments

[Сергей Ноздрин]

А можете посоветовать, куда вообще копать, если раньше я всегда пользовался mysql_query, прогоняя данные перед этип по mysql_real_escape_string и все. Может, статьи, которые вам нравятся на эту тему?

Был бы очень благодарен.

[KEKSOV]

Пожалуй, вот эта статья вполне подойдет для первоначального ознакомления с данным вопросом. Далее имеет смысл приникнуть к древу официальной документации (обязательно читайте пользовательские комментарии, в них бездна полезной инфы). Ну, а для дальнейшей прокачки этого скила, рекомендую, хотя бы бегло, ознакомиться с хабра-материалом по данной теме.

[Сергей Ноздрин]

А можете, чтобы я немного просветлел, своими словами объяснить, как mysqli помогает защититься от SQL-инъекций?

Я так понимаю, вот этим механизмом?

[KEKSOV]

Да, Вы правы, алгоритм следующий —

$name = ';Вася Пупкин; DELETE FROM users;';
$sql = 'SELECT * FROM users WHERE name = ?';
$stmt = $mysqli->prepare( $sql );
$stmt->bind_param( 's', $name );
$stmt->execute();

Переменная может содержать любой текст. Так как содержимое переменной никогда не подставляется в виде литерала в SQL выражение, а передается на сервер с двоичном виде, то парсер на сервере никогда-никогда не увидит вредоносного кода, который мы попытались ему подсунуть. Обратите внимание, в нашем коде нет вызова функции escape, которую можно обмануть.