如何在php中生成动态查询字符串？

Question

我正在为一个图书数据库创建一个搜索引擎。我有一个用于精确搜索的单选按钮和类似的search.My查询，我应该如何生成一个精确的search.For查询(例如，我有ISBN和field.Likewise )，因为field.Likewise我有很多字段，它们可以保持为空的和填充的too.How，我应该为这个查询生成一个too.How查询吗？

如果标题被填充并且isbn被填充，那么它应该是

select * from book_info where isbn="$_POST['isbn']" and title="$_POST['title']"

如果填充了10个字段，那么我应该如何生成？检查字段是否为空无是一个解决方案。但还有比这更好的解决办法吗？

Answer 1

您可以像下面的代码一样将所有选项放在列表中。

$search = array("isbn" => $_POST['isbn'],
                "title" => $_POST['title'],
                "table_field" => $input_value);

然后，使用每个循环来构造条件部分。

$sql = "SELECT * FROM book_info";
$condition = "";
foreach($search as $key => $value) {
    if (isset($value) && ($value != "")) {
        if ($condition != "") {
            $condition .= " AND ";
        }
        $condition .= "{$key}=:{$key}";
    }
}

使用prevent语句防止SQL注入。

$sh = $db->prepare($sql . " WHERE " . $condition);
foreach($search as $key => $value) {
    if (isset($value) && ($value != "")) {
        if ($condition != "") {
            $condition .= " AND ";
        }
        $sh->bindValue(":{$key}", $value);
    }
}

Answer 2

​

​

别说了，说到重点..。

试着做这样的事情：

$allowed_keys = ["isbn","title",...]; // or array("isbn"...) if you're not up-to-date
$postvars = array_intersect_key($_POST,array_flip($allowed_keys));
$conditions = []; // or array(); for old PHP
foreach($postvars as $k=>$v) {
    $conditions[] = "`".$k."`='".mysql_real_escape_string($v)."'";
    // use whatever function is suitable for the library you're using
    // I'm assuming the basic mysql library, based on your injection vulnerability
}
if( $conditions) {
    $query = "select * from `book_info` where ".implode(" and ",$conditions);
    // run query
}

Answer 3

千万别那么做。您所做的是邀请SQL注入攻击，这使您的网站容易受到黑客攻击。

在PHP中，使用PDO和参数化查询。

$isbn = $_POST['isbn'] . '';
$title = $_POST['title'] . '';


$db = new PDO( "host", "user", "pass");
$stm = $db->prepare( "select id, name, title, whatever from book_info where isbn= ? and and title= ?");
$stm->bindParam( 1, $isbn);
$stm->bindParam( 2, $title);
$stm->execute();
while ($row = $stm->fetchObject())   //or just fetch()
{
   $othervar = $row->name;
   //etc
}