Uncaught exception bei DB-Abfrage

[Andreas]

Hallo,

ich bekomme diese Fehlermeldung bei einem query

Fatal error: Uncaught exception Exception with message Too few arguments to build the query string thrown in /web4Data/var/www/qsn-einbruchschutz/html/2010/system/libraries/Database.php on line 634

Meine DB-Abfrage direkt im Template:

$this->import('Database');
$result = $this->Database->prepare("SELECT * FROM tl_member
                                     WHERE company LIKE '%$company%'
                                       AND street  LIKE '%$street%'
                                       AND postal LIKE '$postal%'
                                       AND city LIKE '%$city%'
                                       ORDER BY $orderby $sortorder
                                    ")
                         ->execute()
                         ->fetchAllAssoc(); 

Und zwar bekomme ich den Fehler, wenn ein Suchwort mit 's' beginnt. Wahrscheinlich durch den Platzhalter '%', der dann zusammen mit 's' '%s' ergibt, was für irgendetwas anderes steht. Ist mein Query irgendwie falsch?

Danke für eure Antworten, Andreas

[acenes]

$this->import('Database');
$result = $this->Database->prepare("SELECT * FROM tl_member
                                     WHERE company LIKE ?
                                       AND street  LIKE ?
                                       AND postal LIKE ?
                                       AND city LIKE ?
                                       ORDER BY $orderby $sortorder
                                    ")
                         ->execute('%'.$company.'%', '%'.$street.'%',  '%'.$postal.'%', '%'.$city.'%')
                         ->fetchAllAssoc(); 

[Andreas]

Hi Acenes,

danke für die Lösung, kann ich bestimmt mal gebrauchen, gerade habe ich auch eine andere Lösung gefungen.

gelöscht 

[acenes]

Wenn du deine Webseite nennst hackt sich jedes Scriptkiddy mit deinem Query im nullkommanichts hinein. Der bequemste Weg ist halt nicht immer der sicherste.

Lies dich mal in SQL Injection ein und überleg dann nochmal ob du solche Daten wirklich direkt ins Query einbinden willst statt mit Platzhaltern zu arbeiten.

[Andreas]

Hallo Acenes,

danke für den Tipp, ich werde es ändern, so wie du es vorgeschlagen hast und mir den Link nochmal zu Gemüte führen.