الإضافة والتعديل والحذف بأمان

<?phprequire __DIR__ . '/db.php';$q = $_GET['q'] ?? ''; // ✗ خطر: نص المستخدم يصير جزءًا من أمر SQL$sql = "SELECT name, phone FROM customers WHERE name = '$q'";echo "<p dir='ltr'><small>$sql</small></p>"; foreach ($pdo->query($sql) as $r) {    echo "<p>{$r['name']} — {$r['phone']}</p>";}

<?php// db.php: الاتصال بقاعدة البيانات في مكان واحد// في المختبر نستخدم SQLite (ملف). وعلى XAMPP بدّل السطر بسطر MySQL الذي تحته$pdo = new PDO('sqlite:' . __DIR__ . '/store.sqlite');// $pdo = new PDO('mysql:host=localhost;dbname=store;charset=utf8mb4', 'root', ''); $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);        // الأخطاء استثناءات$pdo->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);   // الصفوف مصفوفات ترابطية

<?phprequire __DIR__ . '/db.php';$q = $_GET['q'] ?? ''; // ✓ آمن: الأمر ثابت، والقيمة تُرسل منفصلة$stmt = $pdo->prepare('SELECT name, phone FROM customers WHERE name = ?');$stmt->execute([$q]);$rows = $stmt->fetchAll(); echo "<p>النتائج: " . count($rows) . "</p>";foreach ($rows as $r) {    echo "<p>{$r['name']} — {$r['phone']}</p>";}

<?php// db.php: الاتصال بقاعدة البيانات في مكان واحد// في المختبر نستخدم SQLite (ملف). وعلى XAMPP بدّل السطر بسطر MySQL الذي تحته$pdo = new PDO('sqlite:' . __DIR__ . '/store.sqlite');// $pdo = new PDO('mysql:host=localhost;dbname=store;charset=utf8mb4', 'root', ''); $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);        // الأخطاء استثناءات$pdo->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);   // الصفوف مصفوفات ترابطية

<?phprequire __DIR__ . '/db.php'; $name = trim($_POST['name'] ?? '');$price = filter_var($_POST['price'] ?? '', FILTER_VALIDATE_FLOAT);$cat = trim($_POST['category'] ?? ''); if ($name === '' || $cat === '' || $price === false || $price <= 0) {    http_response_code(422);    exit('بيانات المنتج غير صحيحة');} $stmt = $pdo->prepare('INSERT INTO products (name, category, price, stock) VALUES (?, ?, ?, 0)');$stmt->execute([$name, $cat, $price]);$id = $pdo->lastInsertId();                 // رقم الصف الجديد http_response_code(201);echo "أُضيف المنتج رقم $id: $name";

<?php// db.php: الاتصال بقاعدة البيانات في مكان واحد// في المختبر نستخدم SQLite (ملف). وعلى XAMPP بدّل السطر بسطر MySQL الذي تحته$pdo = new PDO('sqlite:' . __DIR__ . '/store.sqlite');// $pdo = new PDO('mysql:host=localhost;dbname=store;charset=utf8mb4', 'root', ''); $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);        // الأخطاء استثناءات$pdo->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);   // الصفوف مصفوفات ترابطية

<?phprequire __DIR__ . '/db.php';$id = (int) ($_POST['id'] ?? 0); if (($_POST['action'] ?? '') === 'restock') {    $stmt = $pdo->prepare('UPDATE products SET stock = stock + :qty WHERE id = :id');    $stmt->execute(['qty' => (int) ($_POST['qty'] ?? 0), 'id' => $id]);} else {    $stmt = $pdo->prepare('DELETE FROM products WHERE id = ? AND stock = 0');    $stmt->execute([$id]);} if ($stmt->rowCount() === 0) {    http_response_code(404);    exit('لم يتأثر أي منتج');}$p = $pdo->prepare('SELECT name, stock FROM products WHERE id = ?');$p->execute([$id]);$row = $p->fetch();echo $row ? "{$row['name']}: المخزون {$row['stock']}" : "حُذف المنتج $id";

<?php// db.php: الاتصال بقاعدة البيانات في مكان واحد// في المختبر نستخدم SQLite (ملف). وعلى XAMPP بدّل السطر بسطر MySQL الذي تحته$pdo = new PDO('sqlite:' . __DIR__ . '/store.sqlite');// $pdo = new PDO('mysql:host=localhost;dbname=store;charset=utf8mb4', 'root', ''); $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);        // الأخطاء استثناءات$pdo->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);   // الصفوف مصفوفات ترابطية

<?phprequire __DIR__ . '/db.php';$pid = (int) ($_POST['product'] ?? 0);$qty = (int) ($_POST['qty'] ?? 1); try {    $pdo->beginTransaction();     $s = $pdo->prepare('UPDATE products SET stock = stock - ? WHERE id = ? AND stock >= ?');    $s->execute([$qty, $pid, $qty]);    if ($s->rowCount() === 0) {        throw new RuntimeException('الكمية غير متوفرة');    }    $pdo->prepare("INSERT INTO orders (customer_id, order_date) VALUES (1, date('now'))")->execute();    $orderId = $pdo->lastInsertId();    $pdo->prepare('INSERT INTO order_items (order_id, product_id, qty, price) SELECT ?, id, ?, price FROM products WHERE id = ?')        ->execute([$orderId, $qty, $pid]);     $pdo->commit();                               // ثبّت كل شيء معًا    http_response_code(201);    echo "تم الطلب رقم $orderId";} catch (Throwable $e) {    $pdo->rollBack();                             // تراجع عن كل شيء    http_response_code(409);    echo 'لم يتم الطلب: ' . $e->getMessage();}

<?php// db.php: الاتصال بقاعدة البيانات في مكان واحد// في المختبر نستخدم SQLite (ملف). وعلى XAMPP بدّل السطر بسطر MySQL الذي تحته$pdo = new PDO('sqlite:' . __DIR__ . '/store.sqlite');// $pdo = new PDO('mysql:host=localhost;dbname=store;charset=utf8mb4', 'root', ''); $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);        // الأخطاء استثناءات$pdo->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);   // الصفوف مصفوفات ترابطية