변수는 문자열로 래핑되어야합니다.

Question

이 쿼리를 작성했습니다.

 $sql = "SELECT `candidates`.`candidate_id`, `candidates`.`first_name`, `candidates`.`surname`, `candidates`.`DOB`, `candidates`.`gender`, DATE_FORMAT(NOW(), '%Y') - DATE_FORMAT(`candidates`.`DOB`, '%Y') - (DATE_FORMAT(NOW(), '00-%m-%d') < DATE_FORMAT(`candidates`.`DOB`, '00-%m-%d')) AS `age`, `candidates`.`talent`, `candidates`.`location`, `candidates`.`availability`, `candidate_assets`.`url`, `candidate_assets`.`asset_size` 
      FROM `candidates` 
      LEFT JOIN `candidate_assets` ON `candidate_assets`.`candidates_candidate_id` = `candidates`.`candidate_id` 
      WHERE `candidates`.`availability` = 'yes'"; 

      if(isset($type)) { 
       $sql .= ' AND candidates.talent = '. "$type"; 
      } 

      if(isset($skill)) 
      { 
       $sql .= ' AND candidates.skill = '."$skill"; 
      } 

      if(isset($gender)) 
      { 
       $sql .= ' AND candidates.gender = '."$gender"; 
      } 

    $query = $this->db->query($sql); 

    return $query->result_array(); 

$type $type, $skill 및 $gender 변수에 전달 된 변수가 포함 된 변수가 SQL에 반환되면 ""가능합니까? 어떻게하면 좋을까요?

Answer 1

나는 메서드가 어떻게 보이는지, 그리고 이전 질문 중 일부를 기반으로하고 있으며, 따라서이 변수에 $this->db->escape_str($value)을 사용할 수 있으므로, 어떤 유형이든 상관없이 문자열로 이스케이프 처리됩니다.

Answer 2

' AND candidates.talent = "'. $type . '"'; 

당신은 제대로 입력을 탈출하기 위해 mysql_real_escape_string() 던져 할 수 있습니다.

Answer 3

이 시도 :

if(isset($type)) { 
    $sql .= ' AND candidates.talent = "'. $type . '"'; 
} 

을 유사하게 다른 두 조항에 대해.

Answer 4

if(isset($gender)) 
{ 
     $gender = mysql_real_escape_string($gender); 
     $sql .= " AND candidates.gender = '$gender'"; 
}