Запрос MySQL с пунктом при помощи PHP

Question

Я хочу, чтобы сделать запрос, подобный следующему:

SELECT f_name, l_name, title from 
-> employee_data where title 
-> IN ('Web Designer', 'System Administrator'); 

поиска термины, полученные в массиве $data = ['Web Designer', 'System Administrator'] и теперь я могу превратить этот массив в Web Designer,System Administrator с помощью:

$data = implode(',', $data) 

есть хороший способ, чтобы превратить этот массив в 'Web Designer', 'System Administrator', так что я могу вставить эту фразу в запросе MySQL напрямую, как показано в начале поста?

Answer 1

Вы, вероятно, следует использовать:

$data = implode(', ', array_map($data, array($object, 'escape'))); 
$query .= 'title IN (' . $data . ')'; // Append to condition 

Где $object->escape() бы по функции, как:

public function $escape($string){ 
    return "'" . mysql_real_escape_string($string, $this->connection) . "'"; 
} 

Вот array_map() документация и mysql_real_escape_string(). Это должно быть SQL injection доказательство решения.

Answer 2

Конечно, вы можете

$data = "'" 
     .implode("','", $data). 
     "'"; 

это немного нечитаемым, но это работает. Также убедитесь, что $data не является пользовательскими данными, или если да, убедитесь, что он дезинфицирован.

Answer 3

изменить запрос так:

$query = 'SELECT f_name, l_name, title from 
     -> employee_data where title 
     -> IN (\'' . implode('\', \'', $data) . '\')'; 

Answer 4

попробовать это

$data = array('Web Designer', 'System Administrator'); 
$query_include = "'".implode("','",$data)."'"; 
$query ="SELECT f_name, l_name, title from 
      employee_data where title 
      IN ($query_include);"; 

, как Vyktor отметил, что SQL инъекция может произойти, и я полностью согласен с тем, не изменяя код выше я своего рода препендом этот код до выше

function clean(&$item) { 
    $item = mysql_real_escape_string($item); 
} 
array_walk($data,"clean");