php - 添加第二个 WHERE 子句或使用 PHP 解析结果？

Question

我的代码提取报告的详细信息，但我只希望在该特定报告与试图查看它的用户相关联时显示详细信息。我想知道向查询添加第二个 WHERE 子句是否更有效/更合适，或者我是否应该只使用 PHP 检查关联的用户 ID？我更喜欢后者，因为它更容易让管理员访问所有记录。

<?php
$query = mysql_query("SELECT report_id, report_user, report_text
                        FROM reports
                        WHERE report_id = '$rid'
                        AND report_user = '$uid'");

$report = mysql_fetch_assoc($query);
?>

或

<?php
$query = mysql_query("SELECT report_id, report_user, report_text
                        FROM reports
                        WHERE report_id = '$rid'");

$report = mysql_fetch_assoc($query);
if ($report['user'] !== $uid) {
    // Access Denied
}
?>

提前致谢!比利

Answer 1

我认为您应该在查询选项中进行过滤。如果您的 php 代码中有一些错误，它会更有效并且可以更好地保护用户隐私。关于管理员查看报告的能力，您可以动态设计查询。

$sql = "SELECT report_id, report_user, report_text
                        FROM reports
                        WHERE report_id = ?";
if($userContext)
{

    $sql .= " AND report_user = ?";
    $stmt = $mysqli->prepare($sql);
    $stmt->bind_param('dd', $rid, $uid);
}
else //admin context
{
    $stmt = $mysqli->prepare($sql);
    $stmt->bind_param('d', $rid);
}

无论你做什么，都要确保绑定(bind)你的变量。