php - PDO Mysql WHERE LIKE 查询实现

Question

我在类中有这个简单的函数:

public function getSearchResults($selectedMethod, $query)
{

        $this->_query = '%'.$query.'%';
        $this->_selectedMethod = $selectedMethod;

        $db = mysql_init();
        $sql = "SELECT * FROM plantsRecords WHERE ? LIKE ?";
        $prq = $db->prepare($sql);

        $prq->bindValue(1,$this->_selectedMethod,PDO::PARAM_STR);
        $prq->bindValue(2,$this->_query,PDO::PARAM_STR);

        $prq->execute();
}

问题在于 WHERE 和 LIKE 发生了一些问题。如果我放置一个标准的column_name，则查询可以工作，但如果我用 ? 分配它，则不行。我在这个网站上阅读了所有类似的问题，但每个人都有 WHERE 语句标准的参数。

Answer 1

您无法将列名称绑定(bind)为参数。您需要执行以下操作:

$sql = "SELECT * FROM plantsRecords WHERE " . $this->_selectedMethod . " LIKE ?";
$prq = $db->prepare($sql);
$prq->bindValue(1, $this->_query,PDO::PARAM_STR);
$prq->execute();

您需要确保用户没有选择$this->_selectedMethod。如果用户选择它，那么您需要将允许的列名称列入白名单。