php - 防止在 MySQL 中的 select 语句期间对变量进行计算

Question

我正在尝试根据传递给脚本的选择构建动态查询。示例:

$qry = "SELECT * FROM machinekaart 
INNER JOIN afleveradressen ON afleveradressen.raaid = mkrraaid 
INNER JOIN kontaktpersonen ON kontaktpersonen.rkpraaid = mkrraaid   
WHERE mkrrid != '' " ;

if($_SESSION['oud'])
    $qry .= "  AND mkrvo < " . $cur_jaar_maand;

字段mkrvo是一个文本字段，除了其他值之外还可以包含yyyy-mm。

例如当变量 $cur_maand_jaar 包含“2015-01”时，选择将是低于 2014 年的所有内容

如何阻止这种情况发生并选择低于“2015-01”的所有内容？？

Answer 1

我建议引用该变量，以便按字面意思取值:

if($_SESSION['oud'])
    $qry .= "  AND mkrvo < '" . $cur_jaar_maand . "'";

更好的是，请使用 PDO，以便您可以使用绑定(bind)，它更安全且最佳优化。

例如。

if($_SESSION['oud'])
    $qry .= "  AND mkrvo < ?";

// build your PDO Connection $myPdoConnection ...

$pdoStatement = $myPdoConnection->prepare($qry);

$pdoStatement->execute(array($cur_jaar_maand));