php - 将生成的字符串用于 MySQL 中带有变量的数组

Question

我需要在 MySQL 循环中使用生成的字符串作为数组。字符串/数组从 $rows 参数构建到 $argumentarray 中，之后应用作 multiSQLarray[]

该函数的调用方式为:

multiSQL('**id,title,description,link**','menu')

字符串正确生成为

array('id' => $result['id'],'title' => $result['title'],'description' => $result['description'], 'link' => $result['link'])

但是它不是将其用作数组的字符串，而是将其添加到 sql 的每个结果的数组中

Array ( [0] => array('id' => $result['id'],'title' => $result['title'],'description' => $result['description'], 'link' => $result['link']) [1] => array('id' => $result['id'],'title' => $result['title'],'description' => $result['description'], 'link' => $result['link']) ) 

我期望的是 SQL 结果作为数组

Array ( [0] => Array ( [id] => 1 [title] => Customers [description] => Display the Customer Dashboard [link] => index.php ) [1] => Array ( [id] => 2 [title] => Server [description] => Display all Servers [link] => servers.php ) )

我的代码:

function multiSQL($rows=null,$table=null,$select=null) {
    if(is_null($select)) {$filter="";} else { $filter = ' where '.$select; }
    global $pdo;
    $sql = 'SELECT '.$rows.' FROM '.$table.$filter.'';
    $connection =$pdo->prepare($sql);
    $connection->execute();
    $multiSQLarray = array();
    $arguments = explode(',',$rows);
    $argumentarray = "";
    $argumentscount=count($arguments);
    $loopcount = 1;
    foreach($arguments as $argument){

            if($loopcount==$argumentscount){
            $loopcount++;
            $argumentarray = $argumentarray.' \''.$argument.'\' => $result[\''.$argument.'\']';

            }
            else{
                $loopcount++;
            $argumentarray = $argumentarray.'\''.$argument.'\' => $result[\''.$argument.'\'],';
            }
    }
    $argumentarray = 'array('.$argumentarray.')';
    echo $argumentarray.'<br><br>';
    while ($result = $connection->fetch(PDO::FETCH_BOTH)) {
        //$multiSQLarray[] = array('id' => $result['id'], 'title'  => $result['title'], 'description'  => $result['description'], 'link'  => $result['link']);
        $multiSQLarray[] = $argumentarray;
        }
    print_r($multiSQLarray);
    return $multiSQLarray;

Answer 1

结构化数据就是结构化数据。无论是字符串还是数组。我无法理解你的一些代码。字符串中的数组...除非您想使用 eval。我认为这有点让你的问题感到困惑。

您需要考虑的一件事是您将如何暴露于 SQL 注入(inject)。基本上从不信任用户，对吗？因此，您可以在代码中执行诸如预定义允许的列之类的操作。如果提交的表单引用了未列入白名单的内容，请停止!另外，必须考虑转义用户提供的值。

我希望我的函数接受一个已知的参数，这些参数对于它需要传入的内容有意义...首先清理所有内容，然后传递一些对函数最有意义的数据类型。也许像...

/**
 * @param string $table
 * @param array $fields
 * @param array $criteria (key/value pairs where key is field and value is scalar)
 */
function buildQuery($table, $fields, $criteria) {

    $where = [];
    $whereVals = [];
    foreach($criteria as $k => $v) {
        $where[] = "({$k} = ?)";
        $whereVals[] = $v;
    }
    $where = implode(' AND ', $where);


    $fields = implode(', ', $fields);

    $sql = "SELECT {$fields} FROM {$table} WHERE {$where}";
    //eg. SELECT id, name, bar FROM fooTable WHERE (id = ?) AND (name = ?)

    $query = $pdo->prepare($sql);
    $retval = $query->execute($whereVals);

    return $retval;
}

$response = buildQuery( 'fooTable', 
                        ['id', 'name', 'bar'], 
                        [   
                            'id' => 5, 
                            'name' => 'john'
                        ]);

也许看看一些框架或像 Doctrine 这样的 ORM？可以看到一些 select 语句的 OOP 表示的好例子。使动态查询构建变得更加容易。最后也会得到一些更干燥的东西。