PHP MySQL：搜索数据库中的字符串（在数组中）丢失的结果

Question

我正在创建一个在数据库中搜索字符串的功能。 PHP 使用 PHP 验证器没有显示错误，如果搜索词不存在，它会返回正确的错误。我的问题是，在标题为“搭配”的数据库列（目前是数据库中的唯一条目）中搜索“匆忙放弃”一词时，没有返回任何结果。虽然我可以使用 phpMyAdmin 看到这个条目确实存在。

用户使用以下 HTML 将字符串输入到输入字段中：

<form action='http://www.murkyfiles.esy.es/search.php' method='GET'>
  <center>
    <p><label for='search'>Please enter your question as accurately as possible:</label></p>
    <p><input type='search' size='90' name='search'></p>
    <p><input type='submit'  name='submit' value='Find answer'></p>
  </center>
</form>

使用以下 PHP 在数据库中搜索输入的术语：

<?php
$button = $_GET [ 'submit' ];
$search = $_GET [ 'search' ];
$host = "[HOST URL]";
$username = "[USERNAME]";
$password = "[PASSWORD]";
$database = "[DATABASE]";
$searchlength = strlen($search);

if( !$button )
  echo "You didn't submit a keyword";
else {
  if( strlen( $search ) <= 1 )
    echo "Search term too short";
  else {
    echo "You searched for <b> $search </b> <hr size='1' > </ br > ";

    // Connect to database

    $con = mysqli_connect ( $host, $username, $password );

    if(!$con) {
        die('Could not connect: ' .PDO::errorInfo());
    }

    mysqli_select_db ( $con, $database );

    $search = str_split($search, $searchlength);

    $construct = " SELECT * FROM 'coll_test' WHERE collocation LIKE '%$search%' ";

    $run = mysqli_query( $con, $construct );

    //Fetch and return search results.

    if ($foundnum == 0)
        echo "Sorry, there are no matching results for <b> $search[0] </b>.
        </ br >
        </ br > 1. Try presenting your Something is wrong in a more academic manner. Guidance can be found on the majority of University websites without need for registration.
        </ br > 2. Try more common words/phrases with similar meaning. This search focuses on colloquialisms - commonly used phrases within a language.
        </ br > 3. Please check your spelling";

    else {
      echo "$foundnum results found !<p>";

      while ( $runrows = mysqli_fetch_assoc($run) ) {
          $collocation = $runrows ['collocation'];
        echo "<a href='$url'> <b> $title </b> </a> <br> $desc <br> <a href='$url'> $url </a> <p>";
      }
    }
  }
}

我查看了各种类似的问题，但没有一个提供解决方案。

为了澄清，数据库表列标题如下：

搭配 | 左 | 正确 | 长度 | 谷歌搜索结果 | 必应结果 | 雅虎结果 | 网址链接 | 维基 | 日期

到目前为止，我的数据库中只有一个条目：

collocation = abandon hastily
left = abandon
right = NULL
length = 2
google-results = 24000000
bing-results = 386000
yahoo-results = 385000
url-link = oxforddictionary.so8848.com/search1?word=abandon
wiki = 0
date = [TIMESTAMP]

Answer 1

相当改写，附注如下：

$con = mysqli_connect ( $host, $username, $password, $database );

//$search = str_split($search, $searchlength); ///??? See below
$searchSafe = preg_replace("/[^0-9a-z-_ ]/i","",$search); //example only.

$construct = " SELECT COUNT(*) AS found FROM `coll_test` 
WHERE collocation LIKE '%".$searchSafe."%' ";

$run = mysqli_query($con, $construct);
$result = mysqli_fetch_array($run);

print $result['found']." number of results found!"; //for example.

1) 您可以在 MySQLi 连接函数中包含数据库引用。

2) str_split 返回一个 array 但您将结果用作字符串。这令人困惑和不正确，您打算如何处理？

• $_GET['search'] 将始终是字符串类型，因此您无需将其用作数组或任何基于数组的操作。

3) 让外部函数手动返回 number_rows 计数可能不准确，instead use COUNT 在 SELECT 语句中。

4) 您忘记返回实际查询的结果！所以上面我插入了一个mysql_fetch_array 结果来查看结果的数量。您也没有为 $foundnum 变量定义值。

5) 您将 PDO 与 MySQLi 混合使用，这两种连接方式互斥。它们不会混合。

6) 您对 SQL 注入和数据库妥协持开放态度，您需要使用准备好的语句（以及 Saty 的示例）并使用类似 preg_replace（或其他 REGEX 解析器）的东西从字符串中删除无效字符，如：

$searchSafe = preg_replace("/[^0-9a-z-%_ ]/i","",$search); //example only.

以上意味着字符串中只允许使用 0-9 或 a-z（不区分大小写，/i）或 -、% 或 _。

7) 表名或列名 ('coll_test') 不应该用单引号括起来，而是应该用反引号括起来，如果有的话。在 MySQL 中，单引号用于包含数据字符串仅。

Answer 2

将引号表格和列名换成反引号，您的代码对 sql 注入用户准备和绑定语句打开以防止它

$search = $_GET ['search'];// get your value
$like = "%$search%";//
$stmt = $con->prepare("SELECT `collocation`,`left`,`right` FROM `coll_test` WHERE collocation LIKE ?");
$stmt->bind_param('s', $like);
$stmt->execute();
$stmt->bind_result($collocation,$left,$right);
$rows = $stmt->num_rows;// check your query return result of not
if ($rows > 0) {

    while ($stmt->fetch()) {// fetch data from query
       printf ("%s (%s)\n", $collocation,$left,$right);
       // fetch data form result set
    }
} else {
    echo "Sorry, there are no matching results for <b> $search </b>.";
}