如何在 PDO 准备语句中正确使用通配符？

PDO 准备语句中的通配符使用

执行 SQL 查询通常涉及根据特定条件过滤数据。准备好的语句是通过防止 SQL 注入漏洞来实现此目的的安全方法。但是，在准备好的语句中使用通配符可能会带来挑战。

挑战

考虑以下查询，旨在搜索名称包含“anyname”的用户：

SELECT * FROM `gc_users` WHERE `name` LIKE '%anyname%'

尝试使用准备好的语句执行此查询时，常见方法例如：

$stmt = $dbh->prepare("SELECT * FROM `gc_users` WHERE `name` LIKE :name");
$stmt->bindParam(':name', "%" . $name . "%");

和

$stmt = $dbh->prepare("SELECT * FROM `gc_users` WHERE `name` LIKE '%:name%'");
$stmt->bindParam(':name', $name);

可能无法工作。这是因为在 SQL LIKE 语句中使用通配符需要在预准备语句中进行特殊处理。

解决方案

要在预准备语句中正确使用通配符，可以使用 bindValue () 方法而不是 bindParam()。下面是一个示例：

$stmt = $dbh->prepare("SELECT * FROM `gc_users` WHERE `name` LIKE :name");
$stmt->bindValue(':name', '%' . $name . '%');

或者，可以使用 bindParam()，但语法稍作修改：

$name = "%$name%";
$stmt = $dbh->prepare("SELECT * FROM `gc_users` WHERE `name` like :name");
$stmt->bindParam(':name', $name);

两种方法都确保通配符被正确转义和处理通过数据库。通过以这种方式使用bindValue()或bindParam()，可以在准备好的语句中使用通配符有效地搜索数据，从而确保安全性和功能性。

以上是如何在 PDO 准备语句中正确使用通配符？的详细内容。更多信息请关注PHP中文网其他相关文章！