Witam!
Mam takie zapytanie czy w tym kodzie który jest poniżej muszę coś bindować?

[PHP] pobierz, plaintext 
 
 $query = $pdo->prepare("SELECT * FROM users ORDER BY id");
     $query ->execute();
     $result = $query->setFetchMode(PDO::FETCH_ASSOC); 
	   $i = 0;
    echo '<table width="50%">';
    echo '<tr>';
    echo '<td>ID</td>';
    echo '<td>User</td>';
    echo '<td>Password</td>';
    echo '</tr>';
 
    echo "<form name='form_update' method='post' action='upa2.php'>\n";
    while ($users = $query->fetch(PDO::FETCH_BOTH)) {
    	echo '<tr>';
    	echo "<td>{$users['id']}<input type='hidden' name='id[$i]' value='{$users['id']}' /></td>";
    	echo "<td>{$users['username']}</td>";
    	echo "<td><input type='text' size='40' name='password[$i]' value='{$users['password']}' /></td>";
        echo "<td><input type='text' size='40' name='username[$i]' value='{$users['username']}' /></td>";
 
    	echo '</tr>';
    	++$i;
    }
    echo '<tr>';
    echo "<td><input type='submit' value='submit' /></td>";
    echo '</tr>';
    echo "</form>";
    echo '</table>';	
 
 
[PHP] pobierz, plaintext 

Dopiero bindowanie robie w drugim pliku upa2.php i pytanie czy dobrze jest zrobione bindowanie?

[PHP] pobierz, plaintext 
         $username= $_POST['username'][$i];
	 $password= $_POST['password'][$i];
	 $id = $_POST['id'][$i];
 
	$sql = "UPDATE users SET password = '$password' , username = '$username' WHERE id = '$id' LIMIT 1";;
$stmt = $pdo->prepare($sql);                                  
$stmt->bindParam(':username', $_POST['$username'], PDO::PARAM_STR);       
$stmt->bindParam(':password', $_POST['$password'], PDO::PARAM_STR);     
$stmt->bindParam(':id', $_POST['id'], PDO::PARAM_INT);   
$stmt->execute();  
 
[PHP] pobierz, plaintext 

I gdzie masz niby to bindowanie w update?

CZyli to powinno być tak?

[PHP] pobierz, plaintext 
$stmt->bindValue(':username',  $username, PDO::PARAM_STR);       
$stmt->bindValue(':password', $password, PDO::PARAM_STR);     
$stmt->bindValue(':id', $id, PDO::PARAM_INT);   
 
[PHP] pobierz, plaintext 

Czyli najpierw ten placeholder musi się znajdować gdzieś w zapytaniu. Masz wszystko w dokumentacji opisane.

[PHP] pobierz, plaintext 
while ($users = $query->fetch(PDO::FETCH_BOTH)) {
    	echo '<tr>';
    	echo "<td>{$users['id']}<input type='hidden' name='id[$i]' value='{$users['id']}' /></td>";
    	echo "<td>{$users['username']}</td>";
    	echo "<td><input type='text' size='40' name='password[$i]' value='{$users['password']}' /></td>";
        echo "<td><input type='text' size='40' name='username[$i]' value='{$users['username']}' /></td>";
 
    	echo '</tr>';
    	++$i;
    }
[PHP] pobierz, plaintext 

Przecież pętla while wyciąga każdy rekord z bazy i wykonuje się tyle razy, ile jest rekordów. Po co każdy jeszcze indeksujesz?

Przecież tu jest to w zapytaniu

[PHP] pobierz, plaintext 
	$sql = "UPDATE users SET password = '$password' , username = '$username' WHERE id = '$id' LIMIT 1";;
$stmt = $pdo->prepare($sql);                                  
[PHP] pobierz, plaintext 

Niree dlatego tak to robię bo działa. Tylko jeszcze chce wiedzieć czy dobrze to zrobiłem bindowanie?

[PHP] pobierz, plaintext 
$sql = "UPDATE users SET password = '$password' , username = '$username' WHERE id = '$id' LIMIT 1";;
$stmt = $pdo->prepare($sql);                                  
$stmt->bindValue(':username', $username, PDO::PARAM_STR);       
$stmt->bindValue(':password',$password, PDO::PARAM_STR);     
$stmt->bindValue(':id',  $id, PDO::PARAM_INT);   
$stmt->execute();   
 
 
[PHP] pobierz, plaintext 

To jest moja wersja. Czy ona będzie okey?

Obrazowo. Zabierasz się za malowanie pokoju. Przygotowałes farbę, umoczyles wałek a na ścianach obrazy, na podłodze dywan i meble rozłożone. Do tego drzwi do pokoju otwarte i każdy może wejść i wszystko wynieść. Tak wygląda twoje zapytanie.

Viking to gdzie jest może błąd?
Na końcu kodu dodaje

[PHP] pobierz, plaintext 
 $stmt->closeCursor();
     unset($stmt);
     $pdo = null;
[PHP] pobierz, plaintext 

Patrzyłeś w dokumentację czy jak zawsze ci się nie chce. Wklej tutaj przykładowe zapytanie które podają.

Tutaj mam taki przykład

[PHP] pobierz, plaintext 
    if($_POST['action'] == 'update')
    {
      $id = $_POST['id'];
 
      $password = $_POST['password'];
      $first_name = $_POST['first_name'];
      $last_name = $_POST['last_name'];
      $email = $_POST['email'];
      $country = $_POST['country '];
      $city = $_POST['city'];
      $post_code = $_POST['post_code'];
      $address = $_POST['address'];
      $phone = $_POST['phone'];
      $updated_at = time();
 
       // przygotowanie szkieletu zapytania
      $stmt = $dbh->prepare('UPDATE customers SET                      
                            password = :password,
                            first_name = :first_name,
                            last_name =  :last_name,
                            email =  :email,
                            country = :country,
                            city = :city,
                            post_code = :post_code,
                            address = :address,
                            phone = :phone,                      
                            updated_at = :updated_at
                            WHERE customer_id = :id                    
                            ');
 
      // przypisujemy zmienne do placeholderów
 
      bindValue(':login', $login, PDO::PARAM_STR);
      bindValue(':password', $password, PDO::PARAM_STR);
      bindValue(':first_name', $first_name, PDO::PARAM_STR);
      bindValue(':last_name', $last_name, PDO::PARAM_STR);
      bindValue(':email', $email, PDO::PARAM_STR);
      bindValue(':country', $country , PDO::PARAM_STR);
      bindValue(':city', $city, PDO::PARAM_STR);
      bindValue(':post_code', $post_code, PDO::PARAM_STR);
      bindValue(':address', $address, PDO::PARAM_STR);
      bindValue(':phone', $phone, PDO::PARAM_STR);
      bindValue(':updated_at', $updated_at, PDO::PARAM_INT);
      bindValue(':id', $id, PDO::PARAM_INT);
 
      // wykonujemy zapytanie
      $result = $stmt->execute();
 
      if($result !== false)
      {
        echo 'Zaktualizowano użytkownika o ID = ' . $id;
      } else {
        echo 'Wystąpił błąd';
      }
 
      $stmt->closeCursor();
      unset($stmt);
      $dbh = null;
    }
 
[PHP] pobierz, plaintext 

I naprawdę nie widzisz różnicy w kodzie prepare obu zapytań?

no okey poprawie to i ocenisz

[PHP] pobierz, plaintext 
$stmt = $pdo->prepare( "UPDATE users SET password = '$password' , username = '$username' WHERE id = '$id' LIMIT 1");                                  
$stmt->bindValue(':username', $username, PDO::PARAM_STR);       
$stmt->bindValue(':password',$password, PDO::PARAM_STR);     
$stmt->bindValue(':id',  $id, PDO::PARAM_INT);   
 $result = $stmt->execute();
 
[PHP] pobierz, plaintext 

@woxala123

Viking próbuje Cię naprowadzić na rozwiązanie, ale chyba masz złe okulary na nosie i nie widzisz.

Jeżeli stosujesz bindValue to zgodnie z twoimi zmiennymi zapytanie do bazy powinno wyglądać tak:



Bez cudzysłowia, bez dolców. Jak się zagłębisz w zapytania PDO, to będziesz mógł tworzyć zapytania bez zmiennych bind podanych wyżej, a tylko:



LIMIT 1 - jeżeli kolumna ID jest unikatowa, jest nie potrzebne.

I popsułeś zabawę Zaraz pewnie pojawi się 100 innych podobnych pytań. Voxala musi się nauczyć sam dochodzić do rozwiązania bo dotychczasowe jego problemy wynikają z nieumiejętnego czytania dokumentacji i przykładów.

Zabawa jest świetna. Ale skoro zastosowałem zmienne to je bindowałem.Twój przykład też jest godny zastosowania-też już czytałem na ten temat. To jest tylko kwestia przerobienia kodu.
teraz wygląda tak. Dostoswałem się jak jest wyżej.

[PHP] pobierz, plaintext 
$stmt = $pdo->prepare( "UPDATE users SET password = :password , username = :username WHERE id = :id"); 
 
$stmt->bindParam(':username', $username, PDO::PARAM_STR);       
$stmt->bindParam(':password',$password, PDO::PARAM_STR);     
$stmt->bindParam(':id',  $id, PDO::PARAM_INT);   
 $stmt->execute();
 
[PHP] pobierz, plaintext 

Bindowałeś do zapytania które nie było przygotowane na to. Innymi słowy, podstawiałeś zmienne POST bezpośrednio do zapytania a niżej jakiś zbędny kod. Już nie pamietam - PDO nie rzucało tam wyjątku że liczba parametrów zbindowanych nie równa się liczbie placeholderów?

Właśnie nic nie wyrzuca. Działa dobrze. Przecież wyżej były trzy zmienne

Podstawione bezpośrednio do SQL. Jeśli tego nie potrafisz zrozumieć to nie wiem jak inaczej wytłumaczyć.

Okey poddaje się. To proszę napisz przykład jak to powinno wyglądać.

Poddaje się, powinno wyglądać jak w poście 15. W poście 12 bindujesz sobie w pustkę.

Czyli teraz dobrze bindowałem w poscie 12 tak.

Cudownie, podstaw tam sobie jako hasło

[PHP] pobierz, plaintext 
$password = "'; drop table users;--";
[PHP] pobierz, plaintext 

W poście #12 stworzyłeś powiązania, ale do niczego.

Wyobraź sobie że zapytania i bindy to DWA zbiory powiązane identyfikatorem.

[PHP] pobierz, plaintext 
$stmt = $pdo->prepare( "SELECT `name` FROM `table`WHERE id = :identyfikator"); 
$stmt->bindParam(':identyfikator', $value);
[PHP] pobierz, plaintext 

Takich identyfikatorów może być mnóstwo, u Ciebie są 3 takie wiązania, dlatego w metodzie prepare musisz wskazać wszystkie powiązania inaczej zapytanie będzie działać wadliwie lub jak zaprezentowałeś na początku, będzie niebezpieczne.

Identyfikator, może być w formie string, ale także jako integer.

Wstrzykiwanie zmiennych PHP w kod zapytania możesz co najwyżej użyć w przypadku wskazywania konkretnych kolumn i tablic. Wartości "binduje" się.

Jeśli dobrze rozumiem Ciebie że w tym wypadku moją wartościa będzie zmienna Post?

Graficznie te zapytania wyglądają tak:
Z #12


Z #15





Ja nie wiem jaką wartością będzie, po prostu nie dodaje się zmiennych HTML w kod PDO, szczególnie jeżeli pochodzą ze źródła zewnętrznego czyli $_POST i $_GET (także $_COOKIE, $_SESSION).

Inaczej może spotkać Cię kara taką jak pokazał Ci na przykładzie Viking.