Unknown column '' in 'where clause'

[tayke]

Ahoi

Ich bekomme leider folgendes Fehler: Unknown column '' in 'where clause'
bei folgender Abfrage:

$sql = "SELECT * FROM tabelle WHERE `" . $_POST['x'] . "` LIKE '%" . $_POST['y'] . "%' ";

Ich hab jetzt mehrere Varianten durch, nur will der Fehler nicht verschwinden.

 

[tobee]

$_POST['x'] hat keinen Wert. Ist sozusagen leer.
Teste es mit

var_dump ( $_POST );

 

[tayke]

hm, dann kommt NULL Unknown column '' in 'where clause'
Liegt wohl nicht daran?!

 

[tobee]

Normal steht das immer so dran:

NULL Unknown column 'dieSpalteGibtEsNicht' in 'where clause'

Da bei dir keine Spalte angegeben ist, gehe ich davon aus das $_POST['x'] leer ist.
Probier mal folgendes:

echo $_POST['x'] == "" ? "Kein Wert vorhanden" : "Wert vorhanden"

 

[Gumbo]

Du gibst aber viele Informationen von deinem Datenschema preis. Du solltest die übergebenen Werte unbedingt filtern und validieren, damit es nicht zu SQL-Injektionen kommen kann.
Im Falle der Tabellenspalte wäre eine Liste der erlaubten Werte möglich, beispielsweise:

$allowedColumns = array(
	'Spalte-A',
	'Spalte-B',
	// …
);
if( !isset($_POST['x']) || !isset($allowedColumns[$_POST['x']]) ) {
	echo 'Ungültige Spalte.';
}

Als übergebener Wert wäre in diesem Fall der numerische Schlüssel des Arrayelements.

 

[tayke]

x kommt aus einem Dropdownmenü, da muss ich dann wohl trotzdem filtern, oder?
x ist leer, ja, solange bis halt was abgeschickt wurde. Wußte nicht, dass es daran liegt. Kann man die Ausgabe irgendwie unterbinden?

y soll der Suchbegriff sein.

<form method="post">
<select name="x">
<option value="name">Name</option>
<option value="jahrgang">Jahrgang</option>
</select>
<input type='text' name='y'>
<input type='submit'>
</form>

 

[tobee]

Ja, mit einem versteckten Formular Feld.

 

[tayke]

hmm? Was hat ein verstecktes Feld mit dem leeren x zu tun?
Kannst du mir bitte zeigen, wie das gehen soll?

 

[tobee]

if ( $_POST['check'] == 1 )
{
$sql = "SELECT * FROM tabelle WHERE `" . $_POST['x'] . "` LIKE '%" . $_POST['y'] . "%' ";
.
.
.
}

<form method="post">
<select name="x">
<option value="name">Name</option>
<option value="jahrgang">Jahrgang</option>
</select>
<input type='text' name='y'>
<input type='submit'>
<input type="hidden" name="check" value="1" />
</form>

Erst wenn das Formular abgeschickt wurde, macht er die SQL Abfrage.

 

[tayke]

Dankeschön, jetzt hab ichs kapiert. Das klappt auch!

Jetzt hänge ich an der Überprüfung der Werte:

if ( $_POST['check'] == 1 ) {

$allowedColumns = array( 'name', 'jahrgang' );
if( !isset($_POST['x']) || !isset($allowedColumns[$_POST['x']]) ) { 
echo 'Ungültige Spalte.'; }

else {
$sql = "SELECT * FROM tabelle WHERE `" . $_POST['x'] . "` LIKE '%" . $_POST['y'] . "%' ";
...

Nun wird jedesmal "Ungültige Spalte" ausgegeben, wobei doch x einen Wert (name oder jahrgang) enthält und er richtig ist.
Oder hab ich das falsch eingebaut?