Rozgrzewka: SELECT i wynik zapytania

1. Co robi zapytanie SELECT na tabeli - co przez nie „przechodzi”?
2. Co zwraca mysqli_query(), gdy zapytanie jest typu SELECT?
3. Skąd pętla while z mysqli_fetch_assoc() wie, kiedy się zatrzymać?

Od $_POST do zapytania INSERT

Formularz wysyła dane metodą POST. W PHP trafiają one do tablicy $_POST, pod kluczami takimi jak atrybuty name pól formularza. Z tych wartości budujemy zwykły tekst zapytania INSERT. Wykonujemy go tą samą funkcją mysqli_query(), którą znamy z SELECT - tym razem zapytanie nie zwraca żadnych wierszy.

Tabela products: przed i po INSERT

INSERT nie zmienia wierszy, które już są w tabeli - dokłada jeden nowy wiersz na końcu. Kolumny name i price dostają wartości z formularza.

Kolumna id: autoinkrementowany klucz główny

Kolumna id to klucz główny: liczba, która jednoznacznie oznacza każdy wiersz w tabeli - żadne dwa wiersze nie mają tej samej wartości. Do tej kolumny nie wpisujemy nic (albo wpisujemy NULL), bo ma atrybut AUTO_INCREMENT: MariaDB sama nadaje jej kolejną wolną liczbę. Numer właśnie dodanego wiersza można od razu odczytać funkcją mysqli_insert_id().

Bezpieczny sposób: zapytanie przygotowane

Zapytanie sklejone wprost z $_POST (jak na poprzednich slajdach) jest ryzykowne: „SQL injection is a technique where an attacker exploits flaws in application code responsible for building dynamic SQL queries” (PHP Manual). Po polsku: SQL injection to atak, w którym ktoś wpisuje w pole formularza fragment kodu SQL, żeby zmienić działanie naszego zapytania i np. zobaczyć albo skasować cudze dane. Bezpieczny sposób to zapytanie przygotowane - zamiast wklejać dane w tekst, wstawiamy znak ? jako miejsce na wartość, a dane podstawia osobno mysqli_stmt_bind_param().

// dane nigdy nie wchodzą wprost do tekstu zapytania
$stmt = mysqli_prepare($db, "INSERT INTO products (name, price) VALUES (?, ?)");
mysqli_stmt_bind_param($stmt, "sd", $name, $price);
mysqli_stmt_execute($stmt);

Ciekawostka: PHP Manual ilustruje ryzyko SQL injection słynnym komiksem xkcd numer 327 - matka specjalnie nazwała syna Robert'); DROP TABLE Students;--, licząc na to, że taki napis skasuje tabelę uczniów w szkolnej bazie danych. W komiksie chłopiec dostaje przez to przydomek „Little Bobby Tables”.

Tak pytają na egzaminie

1. Przedstawiony fragment kodu PHP ma za zadanie umieścić dane znajdujące się w zmiennych $a, $b, $c w bazie danych, w tabeli dane. Tabela dane zawiera cztery pola, z czego pierwsze to autoinkrementowany klucz główny. Które z poleceń powinno być przypisane do zmiennej $query?

1. SELECT '$a', '$b', '$c' FROM dane;
2. SELECT NULL, '$a', '$b', '$c' FROM dane;
3. INSERT INTO dane VALUES ('$a', '$b', '$c');
4. INSERT INTO dane VALUES (NULL, '$a', '$b', '$c');

2. W tabeli pracownicy zdefiniowano klucz główny typu INTEGER z atrybutami NOT NULL oraz AUTO_INCREMENT, a także pola imie i nazwisko. Po wykonaniu INSERT INTO pracownicy (imie, nazwisko) VALUES ('Anna', 'Nowak');, czyli kwerendy pomijającej pole klucza, w bazie danych MySQL nastąpi

1. błąd nieprawidłowej liczby pól.
2. zignorowanie polecenia, tabela pozostanie bez zmian.
3. wpisanie rekordu do tabeli, dla klucza głównego zostanie przydzielona wartość NULL.
4. wpisanie rekordu do tabeli, dla klucza głównego zostanie przydzielona kolejna wartość naturalna.

Ćwiczenie: formularz dodaje produkt

1. W folderze swojego serwera (np. htdocs) utwórz plik add-product.html: formularz z dwoma polami <input name="productName"> i <input name="productPrice">, action="add-product.php", method="post".
2. Utwórz add-product.php: połącz się z bazą shop jak w connect-database.php, odbierz $_POST["productName"] i $_POST["productPrice"].
3. Zbuduj tekst "INSERT INTO products (name, price) VALUES ('...', '...')" z tych wartości i wykonaj mysqli_query().
4. Otwórz localhost/add-product.html, wypełnij formularz i sprawdź w phpMyAdmin, że nowy wiersz doszedł do tabeli products z własnym numerem id.
5. Gotowe pliki add-product.html i add-product.php zostaw w folderze kursu.

A jak to wygląda w produkcji?