php - Postgres 查询中引号中的变量

Question

这可能是一个愚蠢的问题，但我在一天中的大部分时间里都在谷歌上搜索答案，但一无所获。我试图让下面的代码工作，但找不到任何关于如何在 PHP 中正确格式化准备好的 Postgres 请求的帮助。

$foo = $_GET[bar];    

echo $foo; // 5555

//what I'm trying to do:
pg_prepare($dbconn,"table_query","SELECT Members FROM programs WHERE programID = '$1' ");
pg_execute($dbconn,"table_query", array($foo));

如果我用一个值对语句进行硬编码，它可以正常工作，但前提是我包含单引号。我已经尝试了几乎所有我能找到的方法来转义单引号或将引号附加到字符串，但我所能得到的只是解析错误。

我错过了什么显而易见的事情？

编辑:更改了代码片段以阐明我得到的变量不包含引号。我尝试添加引号的任何方法都失败了。

Answer 1

让我们研究一个完整的例子。假设您从设置名称 pid 的 GET 查询中获取了您的值。从您的示例查询中，我希望该值是整数的十进制表示形式，不同于零。它是一个字符串，因为 GET 查询不能产生任何其他内容。

 $pid = $_GET['pid'];

 // This is _very_ important.
 // Anything that comes from outside must be validated or sanitized.
 // FILTER_VALIDATE_INT refuses "0" too (correct if needed).
 if (filter_var($pid, FILTER_VALIDATE_INT) === false) {
   // Deal with invalid input 
 }

 $result = pg_query_params($dbconn,
     'SELECT Members FROM programs WHERE programID = $1',
     array($pid)
 );

pg_query_params 将 $1 与 $pid 绑定(bind)并正确引用它，但不能在语句周围使用双引号，因为 PHP 会展开 >$1 错误。不需要手动在 $pid 周围加上引号，因为 pg_query_params 会处理这个。此外，PostgreSQL 接受带引号和不带引号的整数值，因此在这种情况下摸索引号毫无意义。

您可以使用 PDO，即 PHP 数据库对象抽象层，而不是使用传统的 pg_ 函数。在那种情况下(忽略您的情况所需的可能选项):

  $dsn = 'pgsql:host='. $host .';port=5432;dbname='. $database;
  $dbh = new PDO($dsn, $user, $password);
  $dbh->prepare('SELECT Members FROM programs WHERE programID = ?');
  $result = $dbh->execute(array($pid)); // $pid as before