Как сделать, чтобы в случае, если пользователь не указал диапазон цен — SQL запрос не крашился?

Question

[Влад Громов]

Камрады, прошу помощи, возникла следующая проблема.

В учебных целях делаю "интернет-магазин наручных часов".
Сверстал страничку а-ля "яндекс-маркет", где можно по фильтрам послать базе данных запрос на то, чтобы отобразить только такие бренды/такого ценового диапазона/с таким то корпусом/и т. д.


В итоге начал с внесения цены от/до и написал примерно такую функцию:

function search($from, $before) {
            $sql = "SELECT * FROM watches WHERE price > $from AND price < $before";
            $stmt = $this->_instance->query($sql);
            $row = $stmt->fetchAll(PDO::FETCH_ASSOC);
            return $row;
        }

Функция теоретически отрабатывает, если пользователь при внесении данных в фильтр указал диапазон цен "от" и "до".
Но если в функцию не приходят $from и $before, то SQL запрос крашится.
Вопрос, как сделать, чтобы в случае, если пользователь не указал диапазон цен - SQL запрос не крашился, а просто показывал всю продукцию, которая есть в наличии.
Была идея указать function search($from=0, $before=9999999999) {...}, но это как то грубо, наверное есть более изящное решение?

Comments

[Boris Köln]

https://ru.wikipedia.org/wiki/%D0%92%D0%BD%D0%B5%D...

Answer 1

[Андрей]

$select = 'select * from watches where 1=1';
$binds = [];
if(!empty($from)) {
    $select .= ' and from>=?';
    $binds[] = $from;
}
if(!empty($before)) {
    $select .= ' and before<=?';
    $binds[] = $before;
}
$stmt = $this->_instance->prepare($sql);
$stmt->execute($binds);
$items = $stmt->fetchAll(PDO::FETCH_ASSOC);

Comments

[Влад Громов]

Понял, получается и далее для всех остальных фильтров, что видны на скрине страницы, надо делать проверку на наличие переданной переменной и в случае наличия - добавлять в sql запрос.
Верно?

[Сережа Ахен]

Стоит еще учесть следующее, насчет empty (конкретно при выборке от нуля):

Возвращает FALSE, если var существует и содержит непустое ненулевое значение. В противном случае возвращает TRUE.

Следующие значения воспринимаются как пустые:

"" (пустая строка)
0 (целое число)
0.0 (число с плавающей точкой)
"0" (строка)
NULL
FALSE
array() (пустой массив)

[Андрей]

Влад Громов, общем-то да. в какой-нибудь массив все фильтры соберите и перебирайте его, применяя те фильтры, которые передали

[Влад Громов]

Андрей, начал работать с другими фильтрами - появился "маленький problem".
Покупатель может указать "пол" один или несколько, и когда их несколько запрос должен выглядеть не "AND gender=?" дописывающееся через цикл, а "AND (gender=? OR gender=? OR gender=?".
Я впихнул проверку на кол-во пришедших параметров (один пол, два пола или три), но выглядит это как то стрёмно.
Есть вариант лучше?

function search(array $arr) {
            $sql = "SELECT * FROM watches WHERE 1=1"; 
            $category = [];
     
          if (!empty($arr[gender])){
                if (count($arr[gender]) == 1) {
                    $sql .= ' AND gender=?';
                } elseif (count($arr[gender]) == 2) {
                    $sql .= ' AND (gender=? OR gender=?)';
                } elseif (count($arr[gender]) == 3) {
                    $sql .= ' AND (gender=? OR gender=? OR gender=?)';
                }
                foreach ($arr[gender] as $key => $val) {
                    $category[] = $val;
                }
            } 
            $stmt = $this->_instance->prepare($sql);
            $stmt->execute($category);
            $row = $stmt->fetchAll(PDO::FETCH_ASSOC);
            return $row;   
        }

[Влад Громов]

Андрей,
сделал вариант, который в случае расширения (добавления 4/5/6 пола), будет отрабатывать без добавления кода

function search(array $arr) {
            $sql = "SELECT * FROM watches WHERE 1=1"; 
            $category = [];
            if(!empty($arr[from])) {
                $sql .= ' AND price>=?';
                $category[] = $arr[from];
            }
            if(!empty($arr[before])) {
                $sql .= ' AND price<=?';
                $category[] = $arr[before];
            }
          
  if (!empty($arr[gender])){
                if (count($arr[gender]) >= 1) {
                    $sql .= ' AND (gender=?';
                    for ($i=1; $i<count($arr[gender]); $i++) {
                        $sql .= ' OR gender=?';
                    }
                    $sql .= ')';
                }
                foreach ($arr[gender] as $val) {
                    $category[] = $val;
                }
            } 
            $stmt = $this->_instance->prepare($sql);
            $stmt->execute($category);
            $row = $stmt->fetchAll(PDO::FETCH_ASSOC);
            return $row;   
        }

[Андрей]

Влад Громов, в sql можно так:
gender in(1,2,3)

Answer 2

[Сережа Ахен]

Типа (не тестил):

function search($from, $before) {
    $sql = "SELECT * FROM watches";
    if (isset(($from) && isset(($before)) {
        $sql .= " WHERE price > {$from} AND price < {$before}";
    }
    $stmt = $this->_instance->query($sql);
    $row = $stmt->fetchAll(PDO::FETCH_ASSOC);
    return $row;
}

Откуда приходят значения в функцию? Перед использованием в sql запросах ОБЯЗАТЕЛЬНО нужно отфильтровать входные данные, иначе дыра.
И стоит сразу учесть, что брать из базы абсолютно все - плохо. На сайте же будет пагинация, вот на основе этой пагинации и нужно составлять запрос.

Comments

[kisaa]

А ещё тут неплохо бы учесть случай, когда пользователь указать только один показатель - либо "От", либо "До".

[Sanovskiy]

Да и использовать prepared statement неплохо было бы. Как минимум от большинства инъекций избавитесь.