关于路由飞行框架php的问题答案

【问题标题】：question about routing flight framework php关于路由飞行框架php的问题
【发布时间】：2020-01-10 18:10:29
【问题描述】：

您好，我正在使用飞行框架进行路由，我对以下代码示例有疑问。你能帮帮我吗）

功能：

function getCoursesByStudents($students)    {

// 1. connection to dbms/db
$mysqli = new mysqli('localhost', 'root', '....', 'university');
if ($mysqli->connect_errno) {
    die($mysqli->connect_error);
}

// 2. query
$query = "SELECT cs.student_id, c.id, c.title FROM courses_students cs, courses c WHERE cs.course_id = c.id AND cs.student_id = " . $students;

$resulthandle = $mysqli->query($query);
if (!$resulthandle) {
    die($mysqli->error);
}

// 3. prepare and return result
$resultforclient = array();
while ($result = $resulthandle->fetch_assoc())  {
    $resultforclient[] = $result;

}

$resulthandle->close();
return $resultforclient;

}

路由：

Flight::route('/students/@id/courses', function($id){
$result = getCoursesByStudents($id);
echo json_encode($result);

});

请您按照以下示例逐步向我解释：

http://localhost/university/backend/flight-master/students/1/courses

我最大的问题是cs.studen_id ..后面的sql查询部分的理解 --> = " .$students;

mysql 格式的查询如何？

我是新手，所以请用简单的方法向我解释一下……非常感谢

【问题讨论】：

标签： php sql frameworks

【解决方案1】：

$students 是 parameter 的 getCoursesByStudents()；当您调用getCoursesByStudents($id) 时，您将$id 传递给该函数，并将$id 的值传递给$students 变量。

$id 本身由Flight::route('/students/@id/courses' 确定，其中@ 表示Flight 中的named parameter，这是从URL 中的任何内容中获取的。因此，@id 变为 $id，最终变为 $students。

这被传递到查询中：

$query = "SELECT cs.student_id, c.id, c.title FROM
courses_students cs, courses c WHERE cs.course_id = c.id AND cs.student_id = 1"

但是，这是以不安全的方式完成的，并且会让您打开一个相当严肃的security vulnerability，这将允许学生查看其他学生的信息。

不要将 ID 直接传递给 SQL 语句（使用... cs.student_id = " . $students），您应该参数化这个查询，使用prepared statements：

$query = "SELECT cs.student_id, c.id, c.title FROM
courses_students cs, courses c WHERE cs.course_id = c.id AND cs.student_id = ?";
$query->bind_param("s", $students); 
$query->execute();

【讨论】：