php - 如何使用 php 使用绑定(bind)变量查询数据库？

Question

我正在制作一个歌曲数据库系统，我正在尝试实现一种方法，让用户可以根据要搜索的类别(歌曲名称、艺术家姓名、专辑名称、流派等)和给定的搜索词来搜索歌曲.为了适应用户输入并防止 SQL 注入(inject)，我使用了一个由绑定(bind)变量制作的准备好的语句，但是我在处理当前制作的内容时遇到了问题:

   search("genre", "electropop", $db);
   function search($column, $term, $db) {
     try {
      $sql = "SELECT * FROM Songs WHERE :column=:term;";
      $stmt = $db->prepare($sql);
      $params = array("column" => $column,
                      "term" => $term);
      $stmt->execute($params);
      $arr = $stmt->fetchALL(PDO::FETCH_ASSOC);
      print (json_encode($arr));
    }
    catch(PDOException $ex) {
      catch_error("The search failed.", $ex);
    }
  }

每当我测试它时，我都会得到一个空数组:[ ]我在 phpmyadmin 中测试了我的查询(“SELECT * FROM Songs WHERE genre='electropop'”)，它检查了(给了我回条目)。SQL 中 WHERE 子句的正确语法是该术语需要用引号 ( https://www.w3schools.com/sql/sql_where.asp ) 括起来，所以我尝试在该术语周围转义引号:

  ...
  $sql = "SELECT * FROM Songs WHERE :column=\':term;\'";
  ...

但随后它甚至无法将 :term 视为稍后绑定(bind)变量的标记。

不确定如何解决这个问题。我假设空数组是由于有效搜索但没有结果，但也许我没有正确使用准备好的语句。任何帮助将非常感激!谢谢!

Answer 1

您在 term 参数之前错过了 :。不需要绑定(bind)列名。只需使用 $column var 而不是 :column。

search("genre", "electropop", $db);
function search($column, $term, $db) {
try {
    $sql = "SELECT * FROM Songs WHERE $column=:term;";
    $stmt = $db->prepare($sql);
    $params = array(":term" => $term);
    $stmt->execute($params);
    $arr = $stmt->fetchALL(PDO::FETCH_ASSOC);
    print (json_encode($arr));
    }
    catch(PDOException $ex) {
        catch_error("The search failed.", $ex);
    }
}