0

O filtro poderá ocorrer nos seguintes cenários:

  1. Sem nenhum input preenchido
  2. 1 (um) input preenchido
  3. Combinações de inputs, inclusive todos

SQL a ser otimizado:

$cnpj           = isset($_GET['cnpj']) ? $_GET['cnpj'] : $_POST['cnpj'];
$razao_social   = isset($_GET['razao']) ? $_GET['razao'] : $_POST['razao'];
$cod            = isset($_GET['cod']) ? $_GET['cod'] : $_POST['cod'];
$dt_inicial     = isset($_GET['dt_inicial']) ? $_GET['dt_inicial'] :$_POST['dt-inicial'];
$dt_final       = isset($_GET['dt_final']) ? $_GET['dt_final'] : $_POST['dt-final'];

if ($cnpj != '' && $razao_social != '' && $cod != '' && $dt_inicial != '' && $dt_final != '') {
    $sql = 'SELECT * FROM nfe WHERE cnpj="$cnpj" AND (razao_social LIKE "%$razao_social%") AND id="$cod" AND data>="$dt_inicial" AND data<="$dt_final"';
} else {
    if ($cnpj != '' && $razao_social != '' && $cod != '' && $dt_inicial != '') {
        $sql = 'SELECT * FROM nfe WHERE cnpj="$cnpj" AND (razao_social LIKE "%$razao_social%") AND id="$cod" AND data>="$dt_inicial"';
    } else {
        if ($cnpj != '' && $razao_social != '' && $cod != '') {
            $sql = 'SELECT * FROM nfe WHERE cnpj="$cnpj" AND (razao_social LIKE "%$razao_social%") AND id="$cod"';
        } else {
            if ($cnpj != '' && $razao_social != '') {
                $sql = 'SELECT * FROM nfe WHERE cnpj="$cnpj" AND (razao_social LIKE "%$razao_social%"';
            } else {
                if ($cnpj != '') {
                    $sql = 'SELECT * FROM nfe WHERE cnpj="$cnpj"';
                } else {
                    if ($cnpj != '' || $razao_social != '' || $cod != '' || $dt_inicial != '' || $dt_final != '') {
                        $sql = 'SELECT * FROM nfe WHERE cnpj="$cnpj" OR (razao_social LIKE "%$razao_social%") OR id="$cod" OR data>="$dt_inicial" OR data<="$dt_final"';
                    } else {
                        $sql = 'SELECT * FROM produtos';
                    }
                }
            }
        }
    }
}

try {
    $query = $conecta->prepare($sql);
    $query->execute();
    $resultado = $query->fetchAll(PDO::FETCH_ASSOC);
}catch (PDOexception $erro) {
    echo 'Erro ao selecionar: '.$erro->getMessage();
}
3
  • Sem sobra de dúvida da maneira como esta sua query vai dificultar muita a manutenção do código e nem precisa ser complexo desse jeito.
    – gato
    Commented 25/02/2017 às 3:17
  • Porque deram negativo na pergunta?
    – jlHertel
    Commented 25/02/2017 às 18:34
  • Uma coisa que recomendo é criar paginação usando LIMIT ...,..., isso porque se retornar muitos resultados isso vai "travar". Acho que esta resposta deve ajudar pt.stackoverflow.com/a/94890/3635
    – Syzoth
    Commented 25/02/2017 às 18:39

3 Respostas 3

4

Baseado na resposta do Paulo Santos, você pode utilizar uma unica consulta verificando o valor dos parâmetros.

Vale lembrar também que não devemos concatenar as variaveis diretamente, mas sim utilizar preparedStatement.

Uma possível solução para o seu problema:

$sql = 'SELECT * FROM nfe WHERE (cnpj = :cnpj1 OR :cnpj2 IS NULL)';
$sql .= ' AND (razao_social LIKE :razao1 OR :razao2 IS NULL)';
$sql .= ' AND (id = :id1 OR :id2 IS NULL)';
$sql .= ' AND (data >= :dataini1 OR :dataini2 IS NULL)';
$sql .= ' AND (data <= :datafim1 OR :datafim2 IS NULL)';

try {
    $query = $conecta->prepare($sql);
    $query->bindValue(':cnpj1', $cnpj);
    $query->bindValue(':cnpj2', $cnpj);
    $query->bindValue(':razao1', $razao_social);
    $query->bindValue(':razao2', $razao_social);
    $query->bindValue(':id1', $cod);
    $query->bindValue(':id2', $cod);
    $query->bindValue(':dataini1', $dt_inicial);
    $query->bindValue(':dataini2', $dt_inicial);
    $query->bindValue(':datafim1', $dt_final);
    $query->bindValue(':datafim2', $dt_final);

    $query->execute();
    $resultado = $query->fetchAll(PDO::FETCH_ASSOC);
}catch (PDOexception $erro) {
    echo 'Erro ao selecionar: '.$erro->getMessage();
}

É importante notar que a passagem dos parâmetros que o PDO vai fazer é um pouco diferente doque o PHP normalmente faz. Digamos que a variavel $cnpj tenha uma string vazia como valor. Este valor será passado para a consulta como uma string ao invés de null, quebrando a sua lógica.

Para garantir que não haja problemas, você pode setar null nas variaveis que realmente são nulas, desta forma:

$cnpj           = isset($_GET['cnpj'])       ? $_GET['cnpj']       : (isset($_POST['cnpj'])       ? $_POST['cnpj']       : null);
$razao_social   = isset($_GET['razao'])      ? $_GET['razao']      : (isset($_POST['razao'])      ? $_POST['razao']      : null);
$cod            = isset($_GET['cod'])        ? $_GET['cod']        : (isset($_POST['cod'])        ? $_POST['cod']        : null);
$dt_inicial     = isset($_GET['dt_inicial']) ? $_GET['dt_inicial'] : (isset($_POST['dt-inicial']) ? $_POST['dt-inicial'] : null);
$dt_final       = isset($_GET['dt_final'])   ? $_GET['dt_final']   : (isset($_POST['dt-final'])   ? $_POST['dt-final']   : null);
11
  • Olá @jlHertel, obrigado pela ajuda e pela defesa em relação à negativação. Implementei a solução que me propôs, porém não está tendo retorno de dados.
    – lucasbento
    Commented 25/02/2017 às 23:35
  • Gostaria de continuar nosso debate no chat? chat.stackexchange.com/rooms/54343/…
    – lucasbento
    Commented 25/02/2017 às 23:35
  • O pensamento do @jlHertel está correto, porém ele inverteu a lógica da comparação, primeiro você checa se é nula, depois checa se o campo é igual ao da pesquisa, o motivo é simples, esse trecho condicional só executa uma das partes, preferencialmente a primeira, ou seja, se for NULO ele nao faz a segunda comparação, por causa do OR. Commented 26/02/2017 às 16:29
  • @PauloSantos a ordem pouco importa, pois o otimizador vai remover o código desnecessário antes de executar
    – jlHertel
    Commented 26/02/2017 às 16:43
  • @luccasrodrigo, cometi o erro de esquecer da passagem de parâmetros que o driver faz é diferente do tratamento comum do PHP. É necessário garantir que as variaveis sejam nulas. Vou ajustar a resposta de acordo
    – jlHertel
    Commented 26/02/2017 às 16:43
2

Pra você não ter essa explosão de consultas, uma pra cada caso em particular, insira na sua query a condição "se for nulo" do campo, isso fará com que você tenha apenas um select.

$nome = $_POST['nome'];
$sexo = $_POST['sexo'];
$etnia = $_POST['etnia'];

'SELECT * FROM Pessoa WHERE ($nome = null OR nome like "%$nome%") AND ($sexo = null or sexo = $sexo) AND ($etnia = null OR etnia = $etnia)'

Isso funciona da seguinte forma, se a variável vem nula, ou seja, ela não vem setada no campo do seu formulário, o campo será ignorado na consulta, caso ela venha diferente de nulo, o campo é considerado e filtrado na busca.

Basicamente uma filtragem condicional. Dessa forma você só terá que escrever uma única consulta para poder filtrar por qualquer combinação de campos que o usuário fizer.

Vale dizer também, que é uma boa prática você utilizar o bind_param para montar sua consulta, visto que é possível fazer um ataque de SQL Injection da maneira como você está fazendo.

3
  • Olá @PauloSantos, ao tentar adaptar ao meu contexto obtenho o seguinte erro: SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '=null OR n_cad=) AND (=null OR id=) AND (=null OR data_emissao >= ) AND (2017-02' at line 1
    – lucasbento
    Commented 25/02/2017 às 15:24
  • SQL: "SELECT * FROM nfe WHERE ($cliente=null OR cliente LIKE '%".$cliente."%') AND ($n_cad=null OR n_cad=$n_cad) AND ($n_nfe=null OR id=$n_nfe) AND ($dt_inicial=null OR data_emissao >= $dt_inicial) AND ($dt_final=null OR data_emissao <= $dt_final) ORDER BY id DESC LIMIT ".$nfes.",".$maximo;
    – lucasbento
    Commented 25/02/2017 às 15:51
  • Meu amigo, o seu problema é simples. Suas variáveis não estão vindo nulas, elas estão chegando como Strings vazias. Observe esse trecho do seu erro "(=null OR data_emissao >= )". Basta você checar se as variáveis são iguais a "" (String vazia), caso positivo iguale a variável a NULL que sua consulta compilará com sucesso. Ou faz isso ou utilize o "Bind Param" pra que ele escape a String vazia pra você. Commented 26/02/2017 às 16:23
1

Não se deve confiar em filtragens por parte do DB. Até mesmos as funções de filtragem do PHP não é garantido.
Expressões regulares acrescenta um pouco mais de segurança e permite seguir uma lógica, um padrão. Tornar o script responsivo. Melhor seria se fosse aplicada em todos os campos.
Depois de tudo analisado é preciso passar um:
htmlentities($dados_dos_campos, ENT_QUOTES, "UTF-8", false);
Em tudo seria bom.
É bom ter o hábitos de tratar os formulários na unha e testar de todos os modos possíveis para evitar erros.
Não precisa montar um monte de SELECT cara, faz o sistema montar os select para ti, ai vai um rascunho:

<?php
//Se todos os campos forem nulos a query vai para a tabela produto
if(($cnpj == null) AND ($razao_social == null) AND ($cod == null) AND ($dt_inicial == null) AND ($dt_final == null)){
$sql = 'SELECT * FROM produtos';
} else {
//Se algo passar pela validação a query vai para tabela notafiscal
$condicao = " WHERE ";
//Incluir o CNPJ se for diferente de nulo
if((isset($cnpj) == true) and ($cnpj != null)){$condicao = " cnpj='$cnpj'";}
//Incluir a razão social se não for nula
if((isset($razao_social) == true) and ($razao_social != null)){$condicao .= " AND razao_social LIKE '%".$razao_social."%'";}
//Incluir o codigo se não for nulo
if((isset($cod) == true) and ($cod != null)){$condicao .= " AND id = '$cod'";}
//Incluir a data inicial se não for nula
if((isset($dt_inicial) == true) and ($dt_inicial != null)){$condicao .= " AND data >= '$dt_inicial'";}
//Incluir a data final se não for nula
if((isset($dt_final) == true) and ($dt_final != null)){ $condicao .= " AND data <= '$dt_final'";}
//A sql a ser a fazer query no db
$sql = "SELECT * FROM nfe $condicao";
$query = $PDO->prepare($sql);
$query->execute();
$count = $query->rowCount();
if($count > 0){for($i = 0; $row = $query->fetch(); $i++){
               //imprimindo os registros
                   echo $row['razao_social'];}}}
?>

Pode ser melhorado! Sempre há modos de melhora!

5
  • Olá @MarcosCélio, grato pelos conselhos. Contudo, não sei se me expressei muito bem, mas a questão é o SQL em si, supondo que os dados já foram tratados...
    – lucasbento
    Commented 25/02/2017 às 1:59
  • @luccasrodrigo Olha ai! Foi isso que entendi!
    – user58118
    Commented 25/02/2017 às 3:29
  • Olá @MarcosCélio, obrigado pela atenção. Consegue fazer em "uma" linha como o Paulo indicou? Olhe os comentários na resposta dele...
    – lucasbento
    Commented 25/02/2017 às 15:34
  • @luccasrodrigo mas fazer de aquele jeito vai gerar erro pois não existe cnpj nullo, ou razão social nullo, pois só são nulos se ainda não foi feito registro algum. Computadores e sistemas são burros e tentam encontrar exatamente o que a gente pede. Se a gente setar um campo como nulo o sistema simplesmente vai tentar encontrar um cnpj nullo na tabela do mysql como não existe pois no cadastro isso foi previsto ai não retorna nada ou erro. Não se pode deixar um campo aceite nulo tipo nome, pois o usuário poderia não querer e dizer o nome dele e isso é inaceitável, ou diz o nome ou cai fora. Ok.
    – user58118
    Commented 25/02/2017 às 15:48
  • mas nesse caso o usuário pode realizar um filtro com a combinação dos inputs, sendo assim ele pode ou não preencher CNPJ, nome, data...
    – lucasbento
    Commented 25/02/2017 às 16:00

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .