Создание отчетов на основе ввода пользователем в php

Question

У меня есть форма для создания отчетов. В моей форме обязательны только поля from_date и to_date. Если пользователь выбирает только from_date и to_date, тогда мне нужно сгенерировать все продажи между этими датами. Если он хочет генерировать денежные средства & кредитные мудрые или партийные мудрые или агентные отчеты (эти поля находятся в правой части формы), тогда я также должен иметь возможность создавать отчеты, настроенные таким образом. Я не могу написать логику для создания SQL-запроса. Спасибо!

HTML:

<form class="row" id="reports" style="width: 100%; margin-bottom: 1%"> 
    <div class="pull-left clearfix"> 
     <label for="from" class="lab-sm">From:</label> 
     <input type="date" id="from" name="from" value="<?php echo date("2016-09-20"); ?>"> 
     <label for="to" class="lab-sm">To:</label> 
     <input type="date" id="to" name="to" value="<?php echo date("Y-m-d"); ?>"> 
     <div> 
     <label for="to" class="lab-sm">Inv:</label> 
      <select name="purchase" id="purchase" class="inp-sm"> 
       <option value="INV">All</option> 
      </select> 
     </div> 
    </div> 
    <div class="pull-right clear-left" style="position: relative;"> 
     <div> 
      <select name="payment" id="payment" class="inp-lg"> 
       <option value="">Cash & Credit Sales</option> 
       <option value="Cash">Cash</option> 
       <option value="Credit">Credit</option> 
      </select> 
     </div> 
     <div> 
      <select name="party" id="party" class="inp-lg"> 
       <option value="">-- All Parties --</option> 
       <? $query = $con->query("SELECT la_head FROM ledger_accounts"); ?> 
       <? while($row = mysqli_fetch_array($query)) { ?> 
       <option value="<?php echo $row['la_head']; ?>"><? echo $row['la_head']; ?></option> 
       <? } ?> 
      </select> 
     </div> 
     <div> 
      <select name="agent" id="agent" class="inp-lg"> 
       <option value="">-- All Agents --</option> 
       <? $query = $con->query("SELECT la_agent FROM ledger_accounts"); ?> 
       <? while($row = mysqli_fetch_array($query)) { ?> 
       <option value="<?php echo $row['la_agent']; ?>"><? echo $row['la_agent']; ?></option> 
       <? } ?> 
      </select> 
     </div> 
     <!-- submission --> 
     <div style="position: relative; left: 44px"> 
      <input type="submit" value="Generate"> 
      <input type="hidden" name="reports" value="sales_reports"> 
     </div> 
    </div> 
</form> 

PHP:

if (ISSET($_POST['reports']) && $_POST['reports'] === 'sales_reports') { 

$from_date = $con->real_escape_string($_POST['from']); 
$to_date = $con->real_escape_string($_POST['to']); 
$payment_type = $con->real_escape_string($_POST['payment']); 
$party = $con->real_escape_string($_POST['party']); 
$agent = $con->real_escape_string($_POST['agent']); 

$query = "SELECT * 
     FROM sales 
     INNER JOIN ledger_accounts ON sales.la_id = ledger_accounts.la_id 
     INNER JOIN inventory_items ON sales.item_no = inventory_items.item_no 
     WHERE inv_date >= ? AND inv_date <= ? 
       AND sales.payment_type = COALESCE(?, sales.payment_type) 
       AND ledger_accounts.la_head = COALESCE(?, ledger_accounts.la_head) 
       AND ledger_accounts.la_agent = COALESCE(?, ledger_accounts.la_agent)"; 
    $stmt = $con->prepare($query); 
    $stmt->bind_param('sssss', $from_date, $to_date, $payment_type, $party, $agent); 
    $stmt->execute(); 
    $result = $stmt->get_result(); 
    while ($row = $result->fetch_assoc()) { 
     echo '<tr>'; 
     echo '<td>'.$row['inv_date'].'</td>'; 
     echo '<td>'.$row['inv_no'].'</td>'; 
     echo '<td>'.$row['la_head'].'</td>'; 
     echo '<td>'.$row['la_address'].'</td>'; 
     echo '</tr>'; 
} 

Answer 1

Если вы ожидаете, что вы не можете получить значения для всех параметров, вы можете выполнить следующие действия с помощью COALESCE():

$query = "SELECT * 
    FROM sales 
    INNER JOIN party ON sales.party_id = party.party_id 
    INNER JOIN items ON sales.item_no = items.item_no 
    WHERE inv_date >= ? AND inv_date <= ? 
      AND payment_type = COALESCE(?,payment_type) 
      AND party = COALESCE(?,party) 
      AND agent = COALESCE(?,agent);"; 

$statement = $dbConn->prepare($query); 
$statement->bind_param('sssss',$from_date,$to_date,$payment_type,$party,$agent); 

COALESCE() работает, предоставляя первое ненулевое значение. Итак, если переданный параметр равен NULL, то приведенное выше будет соответствовать только тому, что находится в поле, на которое вы фильтруете (party = party).

Вы также хотите параметризовать свой запрос, чтобы избежать возможных атак SQL-инъекций. Я также применил это к вышеуказанному коду.

Хорошие ресурсы:
http://php.net/manual/en/mysqli-stmt.bind-param.php

How can I prevent SQL injection in PHP?