Хочу сделать проверку на уникальность логина, но вы он постоянно выводит, что логин доступен. Почему?

Question

[denis_21321321]

Хочу сделать проверку на уникальность логина , но вы он постоянно выводит , что логин доступен . Почему ?

JavaScript

const input_login = document.querySelector("#input_login");
const availability = document.querySelector("#availability");

input_login.onblur = async () => { 
	if(input_login.value != "")   {
    const username = input_login.value;

    const response = await fetch("unique.php", {
        method: 'POST',
        headers:{"Content-Type":'application/x-www-form-urlencoded'},
        body:"username=" + username
    })
    const data = await response.text();

    availability.innerHTML =  await data;
}}

PHP

<?php

$connect = mysqli_connect("localhost", "root", "", "site");

$sql = "SELECT * FROM `users` WHERE `login` = ".$_POST['username']." ";
$result = $connect->query($sql);
if ($result->num_rows > 0) {

  echo 'This username is already taken';
} else {
    echo 'This username is available';
}

Answer 1

[Immortal_pony]

$connect = mysqli_connect("localhost", "root", "", "site");

$sql = "SELECT * FROM `users` WHERE `login` = ?";
$stmt = $connect ->prepare($sql);
$stmt->bind_param("s", $_POST['username']);
$stmt->execute();
$stmt->store_result();

if ($stmt->num_rows > 0) {
    echo 'This username is already taken';
} else {
    echo 'This username is available';
}

Comments

[John Didact]

Я нуб во всём, поэтому и спрашиваю… зачем тут подготовленный запрос? Не лучше бы через обычный запрос, предварительно проверив присланные данные?

[denis_21321321]

Код , который вы написали , защищает от SQL-инъекции ?

[Just Me]

denis_21321321, да

[FanatPHP]

John Didact, чем лучше?
И и что значит "проверив"? Только конкретно, без туманных пассов руками. Какой код имеется в виду под "проверив"?

[John Didact]

FanatPHP, тем, что лишних передач данных не будет.
"Проверив" - имел ввиду проверить на допустимые символы, принудительно удалив запрещённые или просто, в случае обнаружения недопустимых символов, не делать запрос к БД, а вернуть сообщение об ошибке, например.

[FanatPHP]

John Didact, понятно. Как всегда, вместо четкого и ясного "переменную заменяем на знак вопроса, а потом биндим", невнятное блеяние про "запрещённые" и "недопустимые" символы. Ты хоть понимаешь всю бессмысленность своих фантазий? Это всё равно что врачу дать рекомендацию, "ну ты там разрежь где-нибудь и удали все ненужное". ЧТО ненужное? Про какие символы тебе вдруг померещились , что они "запрещённые"? Кто их запретил? За что?

[John Didact]

FanatPHP, ты рил не понимаешь, что я имею ввиду под запрещёнными символами?) Вижу, у тебя подгорело… остудись ;) Ну ок.
Как я понял, ты из тех, кто подготавливаемые запросы считает основным и первым средством от SQL-инъекций.
В его случае (если речь идёт только о проверке на существование Ника в БД) можно сделать так:
Принять из POST строку. Проверить, является ли присланное - строкой; проверить, нет ли в этой строке символов, которые запрещены в использовании ника (их запретил автор (надеюсь), так как логины, обычно, ограничиваются в наборе символов) или проверить на наличие в строке только разрешённых символов (их тоже разрешил автор (надеюсь) по той же причине). Если всё ок, то следующее: если в разрешённых (автором) в нике символов имеются спец.символы для sql-запроса, то экранировать их. Затем, выполнить один запрос. Если были найдены запрещённые (автором) символы, то просто вернуть false.

Для чего на сервер отправлять шаблон, затем данные, когда нужно лишь проверить существование одной лишь строки и один лишь раз???

[FanatPHP]

John Didact, у меня подгорает не из-за подготовленных выражений, а из-за пустопорожних балаболов. Ну ты я вижу в прыжке переобулся, уже хочешь не запрещать, а экранировать. Хотя градус идиотизма и поубавился, но все равно вынужден тебя огорчить. Не существует никакого "экранирования спец.символов для sql-запроса", это опасное заблуждение.

Ну и подумай сам. Ты вроде бы хотел упросить процесс, а в итоге написал целую кучу хаотичных телодвижений. Не проще ли вернуться к простому подготовленному запросу вместо того чтобы реализовывывать твои путаные фантазии? :)

[John Didact]

FanatPHP, под запрещёнными я имел ввиду всё, что не a-zA-Z0-9_- Можно вырезать, а лучше - запретить. То есть, не делать запрос, так как ника, содержащего иные символы в базе нет. Не думаю, что в никах будет использованы другие символы. Если всё же использовать, типа O'Supernick, тогда экранировать. И "телодвижения" эти не хаотичные и не являются путаными фантазиями. В данном случае нет смысла использовать подготовленный запрос. Ты обзывайся, как хочешь, но лично я не буду следовать твоей религиозной догме и, как сказал кубинский программист-революционер, "история меня оправдает".

[FanatPHP]

John Didact, итог был немного предсказуем :)
Когда начинается с "ващета я нуб и спрашиваю", то заканчивается "я тут умнее вас всех и никто мне не указ!!!1111адинадинадин"
:)
Ну потешь свою самооценку, что тебе ещё остаётся.

[John Didact]

FanatPHP, я хоть как-то пытался аргументировать своё решение задачи, в отличии от всяких фанатов пиэчпи))

[Immortal_pony]

John Didact есть различные этапы работы со входящими пользовательскими данными
- валидация на клиенте
- санитайзинг
- валидация на сервере
- использование подготовленных выражений

Ни один из этих этапов работы с пользовательскими данными не исключает другой и не должен быть опущен.
Каждый из них преследует свои цели. То, что резльутат одного из этих методов может походить на результат другого не значит, что они взаимозаменяемы или что какой-то этап можно пропсутить.
В данном случае проблема возникла на этапе работы с БД, но это не значит, что в подходе автора начисто отсутствует валидация и санитайзинг данных. Их я бы тоже посоветовал ему внедриить.

[John Didact]

Immortal_pony, не спорю... Но разве такой примитивный запрос нуждается в подготовке? Нуждается в том, чтобы сначала на сервер БД клиент отправил шаблон, а потом данные?

[Immortal_pony]

John Didact, если есть необходимость в запросе подставить какие-то данные из переменной, то он нуждается в подготовке. В данном случае такая необходимость есть.

[John Didact]

Immortal_pony, и вы туда же) ну ладно)) дело ваше.
Для чего предназначены подготавливаемые запросы? Мне просто интересно… Может я не так представляю их функции?!