Abfragedatenbank basiert auf URL ($ _GET []), funktioniert nicht wie erhofft

Question

ich versuche, Filter auf meine Abfrage basierend auf der URL der Seiten anzuwenden. Es scheint jedoch nicht die richtigen Daten aus meiner Datenbank zurückzugeben.

if ($_GET['from'] == '' && $_GET['to'] == '') { 
    $query = 'SELECT * FROM mhs_dashboard_revenue'; 
    echo 'none'; 
} else if ($_GET['from'] == '' && $_GET['to'] != '') { 
    $query = 'SELECT * FROM mhs_dashboard_revenue WHERE DateOfData BETWEEN 20150101 AND "$_GET[to]"'; 
    echo 'to'; 
} else if ($_GET['from'] != '' && $_GET['to'] == '') { 
    $query = 'SELECT * FROM mhs_dashboard_revenue WHERE DateOfData BETWEEN "$_GET[from]" AND 20900101'; 
    echo 'from'; 
} else if ($_GET['from'] != '' && $_GET['to'] != '') { 
    $query = 'SELECT * FROM mhs_dashboard_revenue WHERE DateOfData BETWEEN "$_GET[from]" AND "$_GET[to]"'; 
    echo 'both'; 
} 

$result = mysqli_query($connection, $query); 

$totalChampagne = 0; 
$totalSpirts = 0; 
$totalWine = 0; 
$total = 0; 

while($row = mysqli_fetch_assoc($result)) { ?> 

<?php 

    $totalChampagne = $totalChampagne + $row['ChampagneValue']; 
    $totalSpirts = $totalSpirts + $row['SpirtsValue']; 
    $totalWine = $totalWine + $row['WineValue']; 
    $total = $totalChampagne + $totalSpirts + $totalWine; 

?> 

<!-- 
    <p>Id: <?php //echo $row['ID']; ?></p> 
    <p>Date of: <?php //echo $row['DateOfData']; ?></p> 
    <p>Champagne: <?php //echo $row['ChampagneValue']; ?></p> 
    <p>Spirts: <?php //echo $row['SpirtsValue']; ?></p> 
    <p>Wine: <?php //echo $row['WineValue']; ?></p> 
    <hr> 
--> 

<?php } ?> 

<p>Champagne Total = &pound;<?php echo $totalChampagne; ?></p> 
<p>Spirts Total = &pound;<?php echo $totalSpirts; ?></p> 
<p>Wine Total = &pound;<?php echo $totalWine; ?></p> 
<p>Total = &pound;<?php echo $total; ?></p> 

Ich habe in jedem IF Echo hinzugefügt meine Werte werden erhalten stellen Sie sicher, und ich kann das Echo an der richtigen Stelle auf der Grundlage der URL sehen.

Die URL sieht wie - revenue_feed.php aus = 20160101 & zu = 20161115, das ist ein Datum, das ohne die Bindestriche formatiert ist, als wenn ich manuell das Eingeben des Datums prüfte, Bindestriche brach es.

Ich hoffe, es ist eine einfache Lösung, aber ich kann nicht scheinen, es auszuarbeiten. Alle Hilfe wird sehr geschätzt.

Answer 1

Damit PHP-Variablen interpretiert werden können, müssen Sie sie in doppelte Anführungszeichen setzen (keine einfachen Anführungszeichen wie bei den SQL-Abfragen). Aber auf jeden Fall ist Ihr Code für SQL-Injektionen offen und sollte vermieden werden.

Stattdessen könnten Sie vorbereitete Abfragen verwenden, die Sie so etwas wie dies würde:

$sql = 'SELECT * FROM mhs_dashboard_revenue WHERE DateOfData BETWEEN ? AND 20900101'; 

$stmt = mysqli_prepare($connection, $sql); 
mysqli_stmt_bind_param($stmt, "s", $_GET[from]); 
mysqli_stmt_execute($stmt);