多表查询连接

Question

由于我是 PHP 新手，我发现这个问题解决起来非常复杂。我有这个查询显示用户不应该执行的结果。

问题是销售代理能够看到他无权查看的用户的投诉。这涉及到客户的账户表。

$priv = "dire problem" , 
$naone = "not serious" , 
$priv2 = "mild prblem" 
are sorting conditions. 
$aid is the agent viewing this page.  

Complaints is for complaints by the customers. 
Accounts table holds all the customer information. 
Agents table is for all the sales/customer reps. 

代码：

$sql = "SELECT complaints.complaint_id, accounts.full_name,
agents.agent_name, complaints.person_id, complaints.why_complaint, 
complaints.just_date, complaints.type, complaints.date_time_added FROM 
complaints LEFT JOIN accounts ON complaints.person_id = accounts.person_id 
LEFT JOIN agents on complaints.agent_whois = agents.agent_id WHERE 
(complaint_type = '$priv' OR complaint_type = '$naone' OR complaint_type = '$priv2') and  
 (complaints.added_by <> '$aid')"; 
 $result=mysql_query($sql);

 $query = mysql_query($sql) or die ("Error: ".mysql_error());

 if ($result == "")
 {
 echo "";
 }
 echo "";


 $rows = mysql_num_rows($result);

 if($rows == 0)
 {
 print("");

 }
 elseif($rows > 0)
 {
 while($row = mysql_fetch_array($query))
 {

  $complaintid = $row['complaint_id'];
  $agentwho = $row['person_id'];
  $agentname = $row['agent_name'];
 $reason = $row['why_complaint'];
 $datetimeadded = $row['just_date'];
  $docname = $row['full_name'];
  $type = $row['type'];


   print("");
   }

    }

Answer 1

这并不是一个真正的答案，但无论如何我都会发布它，因为这是我能做的最好的事情。

好吧，首先，你的缩进到处都是。 请，为了任何需要阅读您的代码的人，请使用一致的缩进风格。使用哪种风格并不重要——只需选择一种并一致应用即可。它使您的代码更易于阅读。

也就是说，让我们看一下您的查询。这是它的原始形式，只是为了更好的可读性而重新缩进：

SELECT
  complaints.complaint_id,
  accounts.full_name,
  agents.agent_name,
  complaints.person_id,
  complaints.why_complaint, 
  complaints.just_date,
  complaints.type,
  complaints.date_time_added
FROM
  complaints
  LEFT JOIN accounts ON complaints.person_id = accounts.person_id 
  LEFT JOIN agents ON complaints.agent_whois = agents.agent_id
WHERE
  ( complaint_type = '$priv'
    OR complaint_type = '$naone'
    OR complaint_type = '$priv2' )
  AND (complaints.added_by <> '$aid')

事实上，我们可以像这样更紧凑地重写 WHERE 子句：

WHERE
  complaint_type IN ('$priv', '$naone', '$priv2')
  AND complaints.added_by <> '$aid'

但这只是说明 complain_type 必须是三个值之一，并且投诉不得由代理'$aid' 添加。你这么说

“问题是销售代理能够看到他无权查看的用户的投诉。”

但查询中绝对没有任何关于任何类型授权的内容！由于我什至无法从查询中猜测您的表可能包含哪种授权数据，或者您想用它做什么，所以我能给您的唯一建议是找出一些规则来告诉应该显示的记录从那些不应该的，将它们添加到查询中。