动态搜索 PHP MYSQL PDO

Question

我有一个带有 3 个选择框的表单：年龄、房间、类型。

<form action="results.php" method="get">
<div class="form-group">
<select name="age">
     <option value>Any</option>
     <option value="1">15</option>
     <option value="2">25</option>
     <option value="3">30</option>
     <option value="4">40</option>
   </select>
</div>
<div class="form-group">
<select name="room">
     <option value>Any</option>
     <option value="1">1</option>
     <option value="2">2</option>
   </select>
</div>
<div class="form-group">
<select name="type">
     <option value>Any</option>
     <option value="1">Personal</option>
     <option value="2">Business</option>
   </select>
</div>
</form> 

我想用 PDO 做的是做一个小的搜索。 如果所有变量都为空，那么我的条件是：

$search = $db->query("SELECT * FROM table");

如果其中 1 个（例如年龄）不为空，那么我有：

 if(!empty($_GET['age'])){
$age = $_GET['age'];
$search = $db->query("SELECT * FROM table WHERE age = '$age'");
}

现在，如果其中 2 个是 npt 空的，我有：

if(!empty($_GET['age']) && !empty($GET['room'])){
    $age = $_GET['age'];
$room = $_GET['room'];
    $search = $db->query("SELECT * FROM table WHERE age = '$age' AND room = '$room'");
    }

为了避免所有可能的搜索组合，如果不为空，我如何使用该词进行搜索。我过去做过一个：

if(!empty($age)){
$where = "WHERE age = '$age'";
}

if(!empty($room)){
$where .= "and room = '$room'";
}

$query = "SELECT * FROM table $where";

如何使用 PDO 实现它？ ：/

Answer 1

我会这样做：

$param = array();
$query = 'SELECT ... FROM t WHERE 1=1';

if(!empty($_GET['age'])){
  $param['age'] = $_GET['age'];
  $query .= ' AND t.age = :age';
}

if(!empty($_GET['room'])){
  $param['room'] = $_GET['room'];
  $query .= ' AND t.room = :room';
}

if(!empty($_GET['type'])){
  $param['type'] = $_GET['type'];
  $query .= ' AND t.type = :type';
}

$dbh->prepare($query)->execute($param);

您可能希望将prepare 和execute 分开。在尝试调用execute 之前，请检查prepare 的返回值。或者，配置 PDO 可以在发生错误时抛出异常，例如

 $dbh->setAttribute(PDO::ERRMODE_EXCEPTION);

Answer 2

您需要创建某种查询构建器。您还需要使用准备好的语句，而不是直接将用户提供的输入注入到 sql 查询中。这可能看起来像这样：

<?php

$search = [
    'age' => 42,
    'room' => 'Millyway',
];

$criteria = [];
$params = [];

foreach($search as $field => $value) {
    $criteria[] = "$field = :$field";
    $params[$field] = $value;
}

$where = ($criteria ? ('WHERE ' . implode(' AND ', $criteria)) : '');

$query = "SELECT * FROM tablename $where";
$stmt = $db->prepare($query);
$stmt->execute($params);

while($obj = $stmt->fetchObject()) {
    // iterate over your result set
}

给定搜索词作为 $search 中的键值（可以是表中的任何列和值，并且需要从这些值的来源处填充），此代码将构建 $criteria，一个集合WHERE 子句片段（使用参数化的 sql 参数名称，而不是直接注入值）和 $params，要传递到（即将到来的）准备语句的参数列表。

然后它在$where 中构建完整的WHERE 子句，方法是组合所有已构建的$criteria，或返回一个空字符串。然后将其直接添加到查询中，并使用构建的参数数组执行查询。然后，您可以像任何其他 PDO 查询一样迭代结果集。

其中，与直接注入变量相比，使用参数化 SQL 的主要好处是它可以保护您免受 SQL 注入攻击。

请注意，可以通过多种方式改进此代码。你可以很容易地把它放在一个函数中；增加复杂性以允许不同类型的比较（例如<> 或LIKE）；甚至可以将其用作更复杂的查询构建器的基础，该构建器允许更复杂的逻辑，例如((age = :age AND room = :room1) OR (room = :room2))；等等。你做什么取决于你的应用程序的需要。