php - 如何使用PHP PDO查询关键字

Question

我有一些代码正在尝试找出如何最好地查询关键字和过滤数据。我不断收到语法错误或访问冲突。如果有人能指出我正确的方向，我将不胜感激。

这是我尝试用于查询关键字和对数据进行排序的代码。

$whereSQL = $orderSQL = ''; 
if(!empty($_POST['keywords'])){     
    $keywords = $_POST['keywords'];
    $whereSQL = "WHERE ad_city LIKE :keywords"; 
}else{
    $keywords = '';
}
if(!empty($_POST['sortBy']) && (strtoupper($_POST['sortBy']) == 'ASC' || strtoupper($_POST['sortBy']) == 'DESC')){ 
$sortBy = $_POST['sortBy'];
}else{ 
    $sortBy = 'DESC';
} 
$orderSQL = " ORDER BY ad_city $sortBy "; 

// Count all records 
$query = $conn->prepare("SELECT COUNT(*) as rowNum FROM ads $whereSQL $orderSQL"); 
$query->bindValue(':keywords', '%' . $keywords . '%');
$query->execute();
$row = $query->fetch();
$rowCount = $row['rowNum']; 


// Initialize pagination class 
$paginationConfig = array( 
    'baseURL' => $baseURL, 
    'totalRows' => $rowCount, 
    'perPage' => $limit, 
    'currentPage' => $offset, 
    'contentDiv' => 'postContent', 
    'link_func' => 'searchFilter' 
); 
$pagination =  new Pagination($paginationConfig); 

// Fetch records based on the offset and limit 
$query = $conn->prepare("SELECT * FROM ads $whereSQL $orderSQL LIMIT $offset,$limit");
$query->bindValue(':keywords', '%' . $keywords . '%');
$query->execute();
$queryResult = $query->fetchAll();

提前致谢。

Answer 1

您只能将占位符用于值，不能将它们用于表名或列名，也不能将它们用于 ASC 和 DESC 等关键字。您需要使用普通的字符串替换。使用输入验证来防止 SQL 注入(inject)。

if(!empty($_POST['sortBy']) && (strtoupper($_POST['sortBy']) == 'ASC' || strtoupper($_POST['sortBy']) == 'DESC')){ 
    $sortBy = $_POST['sortBy'];
}else{ 
    $sortBy = 'DESC';
} 
$orderSQL = " ORDER BY ad_city $sortBy "; 

此外，您的查询保证返回恰好 1 行。无需检查 $query->rowCount() (它始终为 1)或循环结果。只需获取第一行也是唯一一行。

$query->execute();
$row = $query->fetch();
$rowCount = $row['rowNum'];