Как в подготовленный MySQL запрос вставить данные из массива?

Question

[Vatrush]

Имеется вот такой метод записи в бд:

public function insert($table,$data)
    {
        $pdo = $this->db;
        $query = $pdo -> prepare("INSERT INTO $table VALUES(:login,:password,:name)");
        $query -> execute($data);

    }

В него приходят данные отсюда:

public function createUser()
    {
        $db = new DB();
        $data = [
            'login' => "login",
            'password' => "password",
            'name' => "name"
        ];
        $db -> insert('users',$values);
    }

Каким образом в запросе можно подставить данные в VALUES(:login,:password,:name) из $data?
т.е грубо говоря привести запрос в VALUES($data)

Comments

[di]

':login' => login
https://www.php.net/manual/ru/pdostatement.execute.php
смотреть пример 2

[di]

Я думал вы хотели что то типа этого

foreach($data as $k => $v){
    $data[':'.$k] = $v;
    unset($data[$k]);
}

и лишь потом понял что вы хотите убрать подготовленные запросы.
А вы знаете для чего существуют подготовленные запросы? Для чего вы собираетесь их убирать? НЕ ДЕЛАЙТЕ ЭТОГО!

[Vatrush]

Алексей Долгов, я просто хотел одним запросом помимо добавления юзера добавлять что-то еще. Почему не делать этого? И как тогда поступить. Это очень муторно писать под каждую сущность запросы.

[di]

небезопасно(sql-инъекции)- раз + в некоторых субд подготовленные запросы кэшируется что хорошо на производительности сказывается.
Читать внимательно.
https://www.php.net/manual/ru/pdo.prepared-stateme...

я просто хотел одним запросом помимо добавления юзера добавлять что-то еще

Добавлять в другие таблицы? Я совсем не понимаю, напишите запрос в формате SQL без подставления переменных и возможно я вас пойму. Вы в курсе что в реляционных базах данных, в каждой таблице строго определенно количество колонок, на лету они не добавляются?

[di]

Vatrush, Или вы хотели просто добавить переиспользуемый код. Чтоб метод insert можно было много раз использовать?

[Vatrush]

Алексей Долгов, У меня есть класс базы данных, в котором содержатся разные методы. Есть класс юзеров, в нем я использую методы из класса бд чтоб зарегать юзера, я просто хочу чтоб одним методом insert я мог как и зарегать юзера, так и создать запись какую-то. Т.е чтоб мой запрос выглядел как-то так:
"INSERT INTO table VALUES param", чтоб я мог передавать в table и param нужные мне значения таблицы и данных.
Чтоб мне не писать запрос типа:
"INSERT INTO users VALUES :login, :password, :name, :email"
"INSERT INTO posts VALUES :title, :text, :author, :category"
А сделать это одним запросом, так сказать универсальным.

[di]

Vatrush,
INSERT INTO users VALUES :login, :password, :name, :email - это один запрос
INSERT INTO posts VALUES :title, :text, :author, :category" - это второй запрос

А insert() - функция которая вызывается(это называется функция, метод, но это точно не запрос).
insert принимает в параметры название таблицы, да?
И $data - данные которые надо сохранить(дальнейшая реализация зависит от того какие данные ).
Это называется аргументы функции.

Если мы возьмем data из примера то можно так например

public function insert($table,$data)
{
    //здесь будут именннованные параметры - массив
    $names = [];

    foreach($data as $k => $v){
        $data[':'.$k] = $v;
        unset($data[$k]);
        $names[]=':'.$k;
    }
   //здесь именованные параметры становятся строкой через запятую 
    $params  = implode(',',$names);

    $pdo = $this->db;
    $query = $pdo -> prepare("INSERT INTO $table VALUES($params)");
    $query -> execute($data);
}

[Vatrush]

Алексей Долгов, в этом случае невозможно будет сделать инъекцию?

[di]

Vatrush, Вам же ответил BD_ l3ftoverZ! , как динамически запрос построить, в чем проблема то?

[Vatrush]

Алексей Долгов, так у меня и нет никаких проблем, я прочитал его ответ, вы же мне написали про то, что это не безопасно и попросили скинуть пример моего sql запроса, вот я и ответил подробнее.

[FanatPHP]

Vatrush, конечно возможно. Ведь Алексей Долгов добавляет в запрос элементы прямо из $data, что является причиной всех инъекций на свете

[Vatrush]

FanatPHP, объясните пожалуйста, как грамотно добавлять элементы в запрос?

[Vatrush]

Алексей Долгов, к чему тут умничать, если все поняли смысл того что я написал? Я адекватно задал вопрос, но ответ получил будто у вас за плечами разработка фейсбука с 0.

Answer 1

[FanatPHP]

Имена полей и названия плейсхолдеров ни в коем случае нельзя брать из $data

Есть класс юзеров,

Имена полей должны быть прописаны в этом классе и использоваться для построения запросов. В общем случае это просто имена свойств класса.