Suche basierend auf URL-Variablen

Question

Ich habe diesen Code - der versucht, Variablen aus der URL zu erhalten und dann eine MYSQL-Auswahl basierend auf den Kriterien (mit Ausnahme der NULL-Werte). Ich glaube jedoch, ich gehe irgendwo hin, aber ich weiß nicht wo:

<?php 

    include('db.php'); // include your code to connect to DB. 
    $tbl_name="mobile"; //your table name 

    $model = ($_GET['model'] ? $_GET['model'] : NULL); 
    $mins = ($_GET['mins'] ? $_GET['mins'] : NULL);  
    $texts = ($_GET['texts'] ? $_GET['texts'] : NULL); 
    $freegift = ($_GET['free-gift'] ? $_GET['free-gift'] : NULL); 
    $network = ($_GET['network'] ? $_GET['network'] : NULL); 
    $plan = ($_GET['plan'] ? $_GET['plan'] : NULL); 
    $vars = array($model, $mins, $texts, $freegift, $network, $plan); 


    foreach($vars as $value) { 
     $value = (isset($_GET[$value]) ? $_GET[$value] : NULL); 
     unset ($vars[$value]); //sweeping the NULL ones 
    } 
    $where_clause = $vars[0]; //the only remaining value after previous cleanup 


    $where = ''; 
    if (count($whereClauses) > 0) { 
     $where = ' WHERE '.implode(' AND ',$whereClauses); 
    } 
    $sql5 = mysql_query("SELECT * FROM $tbl_name".$where); 

Dies funktioniert überhaupt nicht. Es sollte funktionieren wie www.domain.com/page.php?mobile=Samsung&mins=500 - die Vars sollten verwendet werden, um die Suche durchzuführen.

Answer 1

Ich glaube, ich verstehe, was Sie wollen. Aber Ihr Code hat zu viele Fehler (sowohl semantische als auch Sicherheit). Daher schlage ich folgenden Code vor:

include 'db.php'; 
$tbl_name = 'mobile'; 

$default_list = array('model', 'mins', 'texts', 'free-gift', 'network', 'plan'); 
$ins_vars = array_intersect_key($_GET, array_flip($default_list)); 

if(!empty($ins_vars)) 
{ 
    foreach($ins_vars as $key => $val) 
    { 
     $val = mysql_real_escape_string($val); 
     $ins_vars[$key] = "{$key}='{$val}'"; 
    } 

    $where_clause = implode(' AND ', $ins_vars); 
    $sql5 = mysql_query("SELECT * FROM {$tbl_name} WHERE {$where_clause}"); 
} 

ps. Nicht getestet, sollte aber funktionieren.

Answer 2

Sie sollten mehr über SQL-Injection lesen und wie es hier zu vermeiden:

http://www.sqlmag.com/article/tsql3/how-to-avoid-sql-injection

Und Ihre Abfrage sollte LIMIT Sqlserver zu vermeiden, haben Rückkehr alle Datensätze jedes Mal.