宮崎 雄策

2013/1/5 10:58

11回答

PDOのプリペアド・ステートメントでテーブル名やフィールド名をエスケープするには。

PDOのプリペアド・ステートメントでテーブル名やフィールド名をエスケープするには。 たとえば下のSQLをPDOで使う場合。 SELECT * FROM posts WHERE name LIKE '%検索文字列%' こうすればいいと思います。 $keyword = '%検索文字列%'; $statement = $db->prepare("SELECT * FROM posts WHERE name LIKE :keyword"); $statement->bindParam(':keyword', $keyword, PDO::PARAM_STR); それで、お聞きしたいのはテーブル名やフィールド名に使用DBの予約語が使われている場合です。 たとえばMySQLの予約語の'explain'。 下記では当然ダメです。 $db->prepare("SELECT * FROM explain WHERE name LIKE :keyword"); 下記のようにバッククォートで囲めばいいのですが、使用DBをMySQLから別のに替える場合などに融通がききません。 $db->prepare("SELECT * FROM `explain` WHERE name LIKE :keyword"); テーブル名やフィールド名で、予約語を手軽に賢く使うにはどうすればいいでしょうか?

PHP・1,829閲覧・xmlns="http://www.w3.org/2000/svg">250

ベストアンサー

徳丸浩

2013/1/6 9:09（編集あり）

ご存じかと思いますが、標準SQLでは名前をダブルクォートで囲むみます。 MySQLでは、デフォルトではダブルクォートは文字列リテラルを囲むのに使用しテーブル名や列名を囲むのはバッククォートですが、ANSI_QUOTESというモードの場合は、ダブルクォートの意味が標準SQLと同じになります。 したがって、たとえば、 my.cnf (Windowsの場合はmy.ini)に以下を指定して、 sql-mode="ANSI_QUOTES" MySQLを再起動すると、以下のようにSQL文を指定できるようになります。 $db->prepare('SELECT * FROM "explain" WHERE name LIKE :keyword'); my.cnfに書く方法だと、データベース全体がANSI_QUOTESになりますが、my.cnfが変更できない場合や、データベース全体の変更すると悪影響がある場合は、セッション毎にモードを変更することもできます。データベースに接続した後、次のSQL文を実行すると、そのセッションでは、ダブルクォートが名前を囲む意味に変わります。 set sql_mode='ANSI_QUOTES'; ANSI_QUOTESモードでSQL文を記述すれば、他のデータベース、OracleやPostgreSQLとも共通の書き方ができます。

NEW! この回答はいかがでしたか？ リアクションしてみよう

ThanksImg質問者からのお礼コメント

ありがとうございました。 最終的には下記のようになりました。 『keyword』の中でダブルクオートを使っても問題ないようです。 $db->query("set sql_mode='ANSI_QUOTES'"); $statement = $db->prepare('SELECT * FROM "explain" WHERE "name" LIKE :keyword'); 標準SQLというものを知らず、このような簡単な解決法があるとは考えもつきませんでした。 基礎をしっかり勉強しなくては、"にわか"から脱皮できないなと感じました m(_ _)m

お礼日時：2013/1/6 10:27