php - 具有多个 like 的 PDO 查询

Question

这在防止 SQL 注入(inject)方面是否安全？

$query = "select * from products where 1";
$searchterms = @preg_split("/[ ,]+/",trim($_REQUEST["textsearch"]));
foreach ($searchterms as &$st) {
    $query .= " and description like ?";
    $st = "%".$st."%";
}
$statement = $dbh->prepare($query);
$statement->execute($searchterms);

我通常用 bindParam() 来做，但这看起来简单多了，值得怀疑。

Answer 1

是的，它很安全。从 MySQL 的角度来看，这与 bindParam() 的作用完全相同。

使用bindParam() 的原因是您希望通过引用绑定(bind)变量。除此之外，bindParam() 所做的唯一一件事就是让你无缘无故地编写更多的 PHP 代码。

PS:与您的问题相切，但是使用 LIKE 进行全文搜索肯定会非常慢。您应该使用真正的全文索引或 Sphinx 搜索。看我的介绍Full Text Search Throwdown .