MySQL-Abfrage in vorbereitete Anweisung mit möglichem Nullwert konvertieren

Question

Um SQL-Injektionen zu vermeiden, konvertiere ich meine Abfragen in vorbereitete Anweisungen. Ich habe noch eins. Es enthält auch einen möglichen Nullwert, daher erweist es sich als etwas schwierig.

Normal:

// Declare $dbc, $varA, $varB, $varC, $ID 

$varC = ($varC == '-') ? "NULL" : "'" . $varC . "'"; 

$query = "UPDATE myTable "; 
$query .= "SET VARA = '{$varA}', VARB = '{$varB}', VARC = $varC "; 
$query .= "WHERE ID = '{$ID}'"; 

$result = @mysqli_query($dbc, $query) or die("Error updating record: " . mysqli_error($dbc)); 

Versuch vorbereitete Anweisung:

// Declare $dbc, $varA, $varB, $varC, $ID 

$varC = ($varC == '-') ? "NULL" : "'" . $varC . "'"; 

$query = "UPDATE myTable "; 
$query .= "SET VARA = ? VARB = ? VARC = ? "; 
$query .= "WHERE ID = ?"; 

$stmt = mysqli_prepare($dbc, $query); 
$bind = mysqli_stmt_bind_param($stmt, "ssss", $varA, $varB, $varC, $ID); 
$exec = mysqli_stmt_execute($stmt); 
mysqli_stmt_close($stmt); 

Answer 1

Warum nicht einfach

$varC = ($varC == '-') ? null : $varC; 

?

Auch sind Sie nicht die Kommas in Ihrer Anfrage

$query .= "SET VARA = ?, VARB = ?, VARC = ? "; 

Edit: Ich lief den Code mit meinen Änderungen und es schien in Ordnung zu arbeiten. Als Referenz ist dies der Code, den ich verwendet:

<?php 
error_reporting(-1); 
ini_set('display_errors', 'On'); 

$dbc = mysqli_connect("127.0.0.1", "test", "test", "test"); 


$ID = "1"; 
$varA = "a"; 
$varB = "b"; 
$varC = "-"; 

$varC = ($varC == '-') ? null : $varC; 

$query = "UPDATE myTable "; 
$query .= "SET VARA = ?, VARB = ?, VARC = ? "; 
$query .= "WHERE ID = ?"; 

$stmt = mysqli_prepare($dbc, $query); 
$bind = mysqli_stmt_bind_param($stmt, "ssss", $varA, $varB, $varC, $ID); 
$exec = mysqli_stmt_execute($stmt); 
mysqli_stmt_close($stmt); 

Könnten Sie versuchen Sie, den Fehler Zeilen an den Anfang des Codes Berichterstattung und sehen, ob Sie Fehler bekommen?