[PDO] ASC oder DESC als Parameter?

[Basoom]

Ich dachte eigentlich, dass das nicht so kompliziert wäre aber ich will grade Artikel mit einer Auswahlbox je nach Auswahl ASC (Aufsteigend) oder DESC (Absteigend) sortieren aber irgendwie funktioniert das nicht.

Ich kriege immer diesen Fehler:

'SQLSTATE[42000]: Syntax error or access violation: 1064 You have an  error in your SQL syntax; check the manual that corresponds to your  MySQL server version for the right syntax to use near '?,  e.creation_time ?'

Hier ist der Code aber ein wenig gekürzt:

if($_POST["sort"] == ((string) "Absteigend"))
    $sortOrder = "DESC";
else
    $sortOrder = "ASC";

$query = $dbz->prepare('SELECT ...... WHERE YEAR(creation_date) = :year GROUP BY e.id ORDER BY e.creation_date :order, e.creation_time :order');
$query->bindParam(':year', $year);      
$query->bindParam(':sorting', $sortOrder); 

Ich habe die Abfrage mal ein wenig gekürzt aber vorher hat Sie auch funktioniert, von daher kann da ja nichts falsch sein, bis auf den Fehler mit der Sortierung.

Wie kriege ich da jetzt das ASC oder DESC als Paramter, je nach Auswahl in der Auswahlbox in die Abfrage mit rein? Irgendwie muss man das dann doch hinkriegen oder geht das so nicht?

[wahsaga]

Platzhalter in prepared statements sind nur für Daten – ASC/DESC ist aber kein Datum, sondern Bestandteil des Statements selber.

Bau $sortOrder in den String ein, bevor du ihn an die prepare-Methode übergibst. (Da du den Wert von $sortOrder vorgibst, ist das hinsichtlich Sicherkeit kein größeres Problem.)

[Basoom]

Wird das denn dann auch echt kein Problem mit der Sicherheit? So gut kenne ich mich damit auch nicht aus aber SQL Injections sind schon ne unschöne Sache.

Wenn ich das aber auch direkt so einbinde, also so

WHERE YEAR(creation_date) = :year GROUP BY e.id ORDER BY e.creation_date '".$sortOrder."', e.creation_time '".$sortOrder."'"); 

oder so:

WHERE YEAR(creation_date) = :year GROUP BY e.id ORDER BY e.creation_date '$sortOrder', e.creation_time '$sortOrder'" 

funktioniert auch nicht. Da kriege ich beide male den Fehler:

'SQLSTATE[42000]: Syntax error or access violation: 1064 You have an  error in your SQL syntax; check the manual that corresponds to your  MySQL server version for the right syntax to use near ''DESC',  e.creation_time 'DESC''

wenn ich DESC aber direkt so reinschreibe, dann funktioniert es ...

[h3ll]

Wieso setzt du DESC in Hochkomma?