如何在 php 中处理 post 方法中的 % [关闭]

Question

我使用具有 % 值的 post 方法在 php 变量中发送一个 mysql 查询；

 $Brand= 'SELECT BRAND_CODE FROM product WHERE STATUS='1' AND UNIT_CODE like '%"81"%'';

$Brand=$_POST['Brand'];

echo $Brand;

结果是

    SELECT BRAND_CODE FROM product WHERE STATUS='1' AND UNIT_CODE like '%

我怎样才能使用这个获得完整的字符串

Answer 1

$Brand= "SELECT BRAND_CODE FROM product WHERE STATUS='1' AND UNIT_CODE like '%81%'";
$Brand=$_POST['Brand'];

echo $Brand;

结果会是这样的：

SELECT BRAND_CODE FROM product WHERE STATUS='1' AND UNIT_CODE like '%81%'

Answer 2

您应该在涉及变量的任何时候使用准备好的语句，尤其是当它们来自 $_GET/$_POST 请求时，以避免 MySQL 注入。

虽然您的请求不是很清楚，但我还是在黑暗中试探，并假设您正在尝试至少基于某种用户交互运行该查询的不同或修改版本 - 而我还没有测试过下面的代码，它应该可以作为一个很好的起点，让您可以使用准备好的语句和 PDO 安全地修改查询。

您可以查看以下链接以供参考https://phpdelusions.net/pdo

<?php
// Configure the below based on your DB
$host = '127.0.0.1';
$db   = 'test';
$user = 'root';
$pass = '';
$charset = 'utf8mb4';

$dsn = "mysql:host=$host;dbname=$db;charset=$charset";

// Leave this as-is
$options = [
    PDO::ATTR_ERRMODE            => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
    PDO::ATTR_EMULATE_PREPARES   => false,
];

// Attempt connection here accessed via $pdo below
try {
    $pdo = new PDO($dsn, $user, $pass, $options);
} catch (\PDOException $e) {
    throw new \PDOException($e->getMessage(), (int)$e->getCode());
}

// Get your brand variable from post request
$brand = "%{$_POST['Brand']}%";

// Prepare an SQL statement with your status and brand variables
$stmt = $pdo->prepare("SELECT BRAND_CODE FROM product WHERE status = ? AND UNIT_CODE LIKE ?");

// Execute the above statement, bind variables here to avoid MySQL injection
$stmt->execute([ 1, $brand ]);

// Retrieve your results (if any)
$results = $stmt->fetchAll();

// Clean up, checks and do what you will with the results..