php - 在清理数据时，SQL LIKE 查询是否需要特别注意？

Question

在简单的场景中，用户输入用于使用 SQL LIKE 过滤数据，是否有我应该注意的特殊字符？

$input  = filter_input(INPUT_POST, 'name', FILTER_SANITIZE_STRING);

// Should I strip characters like '%'?

$sth    = $db->prepare("SELECT `id` FROM `names` WHERE `name` LIKE :name");
$sth->execute(['name' => $input . '%']);

我指的是任何可能显着减慢查询/占用 CPU 并因此被用于恶意目的的东西。

Answer 1

您需要关心$input，它将包含逗号或引号

Answer 2

您应该转义用于通配符匹配的字符。

请参阅转义 MySQL 通配符以获得关于这样做的很好的讨论。