PHP MySQL 搜索表单选择字段和搜索词，分隔符在 Where 子句中

Question

我想让用户通过从下拉列表中选择字段名称来搜索表，然后在该字段中输入要搜索的术语。我遇到的问题是有些字段是字符串，有些是数字。当我从 $_GET 变量构造 WHERE 子句时，我不知道如何分隔搜索词，因为我想不出一个好的方法来确定用户选择的字段是数字还是字符串。

这是搜索表单：

<form action="<?php $_SERVER['PHP_SELF'] ?>">
  <label for="search_field">Search:</label>
  <select name="search_field">
  <?php
    $fields = $res->fetch_fields();
    foreach($fields AS $f) {
      echo '<option value="' . $f->name . '">' . $f->name . '</option>\n';  
    }
  ?>
  </select>
  <label for="search_for">For:</label>
  <input type="text" name="search_for" />
  <input type="submit" value="Search" />
</form>

php 文件这样处理搜索变量：

if(isset($_GET['search_field']) and isset($_GET['search_for'])) {
  $sql_where = "AND " . $_GET['search_field'] . ' = ' . $_GET['search_for'] . ' ';
}

$sql = $sql . $sql_where;

查询适用于数字字段，但不适用于字符串字段。我可以在 search_for 术语周围加上引号，但是数字字段将不起作用。必须有办法做到这一点。有任何想法吗？谢谢。

Answer 1

只需使用is_numeric 函数来判断它是数字还是字符串：

if(isset($_GET['search_field']) and isset($_GET['search_for'])) {
  if(is_numeric($_GET['search_for']))
  $sql_where = 'AND ' . $_GET['search_field'] . ' =  . $_GET['search_for'] . ';
  else{
     $sql_where = 'AND ' . $_GET['search_field'] . ' = ' . '.$_GET['search_for'] . ' ';
  }
}

Answer 2

您可以使用 is_numeric 检查 $_GET['search_for'] 在 php 中是否为数字

if(isset($_GET['search_field']) and isset($_GET['search_for'])) {
    $sql_where = "AND " . $_GET['search_field'] . ' = ' .
    (is_numeric($_GET['search_for']) ? $_GET['search_for'] : '"' .
    $_GET['search_for'] . '"' ) . ' ';
}

此外，如果您总是用引号分隔 search_for，它将适用于数值，您可以尝试一下。我只是想向您展示 is_numeric 函数

Answer 3

您知道您的代码存在安全问题，不是吗？

但是要解决您的问题，只需这样做

$search_for = is_numeric($_GET['search_for'])?$_GET['search_for']:"'".addslashes($_GET['search_for'])."'";
$sql_where = 'AND `' . $_GET['search_field'] . '` = ' . $search_for . ' ';