Как составить запрос?

Question

[Евгений Петров]

Есть админ-панель. Требуется создать фильтрацию отображения входящих заявок.
Параметры:
- 3 типа статуса (на оценке, в работе, завершенные)
- По имени (простое текстовое поле)
- По тегам(минимум 1 тег, максимум 11)

Средствами jquery выбираю тип фильтра:
1 - по статусу
2 - по статусу и марке
3 - по статусу, марке и типу работ

Решил вопрос со статусом и именем, запросы выглядят след.образом:

spoiler

$query1 = mysqli_query($lnk, "SELECT * FROM applications WHERE status='".$_POST['status']."'");
$query2 = mysqli_query($lnk, "SELECT * FROM applications WHERE name='".$_POST['name']."' and status='".$_POST['status']."'");

А вот как быть с третьим типом - не понимаю.

Пробовал что-то такое:

spoiler

$query3 = mysqli_query($lnk, "SELECT * FROM applications WHERE name='".$_POST['name']."' and status='".$_POST['status']."' or type1='".$_POST['tag1']."' or type2='".$_POST['tag2']."' or type3='".$_POST['tag3']."' or type4='".$_POST['tag4']."' or type5='".$_POST['tag5']."' or type6='".$_POST['tag6']."' or type7='".$_POST['tag7']."' or type8='".$_POST['tag8']."' or type9='".$_POST['tag9']."' or type10='".$_POST['tag10']."' or type11='".$_POST['tag11']."'");

Если, допустим, у заявки 5 случайных фильтров, а администратор решил вывести все заявки с N-фильтром, который присутствует среди тех пяти фильтров, то такой вариант 100% не сработает.

Как правильно составить запрос в такой ситуации?

Comments

[Nick Sdk]

получается, у вас таблица applications с примерно такими полями:

name, status, type1, type2, type3, type4, type5, type6, type7, type8, type9, type10, type11

и надо вывести с теми тегами, которые:
-придут с $_POST
-которые есть у записей

А записи вида:

applications
name  | status  | type1 | type2 | type3 | type4 | type5 | type6 | type7 | type8 | type9 | type10 | type11
------|---------|-------|-------|-------|-------|-------|-------|-------|-------|-------|--------|-------
name1 | status1 | type1 | type2 |       | type4 |       |       | type7 | type8 |       | type10 | type11
name2 | status2 |       | type2 | type3 |       | type5 | type6 |       | type8 | type9 | type10 |      
name4 | status3 | type1 |       | type3 |       | type5 |       | type7 |       | type9 |        |      
name3 | status4 |       | type2 |       |       | type5 | type6 |       | type8 |       | type10 | type11

т.е. не у всех записей есть эти самые теги(типы)
так?

[Евгений Петров]

Nicolas Serdyuk, Верно
К примеру, нужно вывести записи у которых status=1, name=qwe и type1,type6,type11!=''
Только типы задаются произвольно и post-запросом передаются сразу 11.
Т.е., пост-запрос выглядит так:
status = 1
name = qwerty
type1 = '1'
type2 = ''
type3 = ''
type4 = ''
type5 = ''
type6 = '1'
type7 = ''
type8 = ''
type9 = ''
type10 = ''
type11 = '1'

[Nick Sdk]

Евгений Петров, думаю, вам надо сперва обработать данные, которые приходят
хотя бы так:

$sql_type_array = [];
for ($i=1; $i<=11; $i++) {
	$tag_name = 'tag' . $i;
	if (isset($_POST[$tag_name])) {
		$sql_type_array[] = 'type' . $i . ' != NULL';
	}
}
$query3 = mysqli_query($lnk, "SELECT * FROM applications WHERE name='".$_POST['name']."' AND status='".$_POST['status']."' " . implode(' AND ', sql_type_array);

[Nick Sdk]

Евгений Петров, сейчас переделаю под ваш позже скинутый пример :)

[Nick Sdk]

Евгений Петров, а в БД в таблице какие значения хранятся? NULL?

[Евгений Петров]

Nicolas Serdyuk, Именно, спасибо за помощь)

Answer 1

[Nick Sdk]

Добавил еще одно условие, чтобы было более "правильно"

$sql_type_array = [];
for ($i=1; $i<=11; $i++) {
  $tag_name = 'tag' . $i;
  if (isset($_POST[$tag_name]) && (int)$_POST[$tag_name] === 1) {
    $sql_type_array[] = 'type' . $i . ' != NULL';
  }
}
$query3 = mysqli_query($lnk, "SELECT * FROM applications WHERE name='".$_POST['name']."' AND status='".$_POST['status']."' " . implode(' AND ', sql_type_array);

А вообще подобные запросы лучше вообще никогда не делать, когда у вас данные из POST или GET идут сразу в SQL запрос.
В таком случае, как у вас, легко можно осуществить SQL инъекцию
Почитайте про SQL инъекции
phpprofi.ru/blogs/post/35
habrahabr.ru/post/148151/
habrahabr.ru/company/pentestit/blog/326362/
и про подготовленные SQL
php.net/manual/ru/mysqli.quickstart.prepared-state...
php.net/manual/ru/pdo.prepared-statements.php

Comments

[Евгений Петров]

А если перед циклом массив прогнать через strip_tags?

[Nick Sdk]

Евгений Петров, strip_tags по сути немного для другого
лучше уж как минимум создавать sql через подготовленные запросы