0

我正在尝试将旧的 MySQLI 查询转换为 PDO，同时还绑定所有变量以防止注入。此特定查询从数组中获取其“WHERE”条件。

$w=array();
if ($pos!='') $w[]="PositionId=':pos'";
if ($country!='') $w[]="CountryId=':country'";
if ($current!='') $w[]="IsCurrent=':current'";
if ($c1stat!='') $w[]=":c1stat :c1comp ':c1val'";
if ($c2stat!='') $w[]=":c2stat :c2comp ':c2val'";
if ($c3stat!='') $w[]=":c3stat :c3comp ':c3val'";
if ($c4stat!='') $w[]=":c4stat :c4comp ':c4val'";
if (count($w)) $where="WHERE ".implode(' AND ',$w); else $where='';

$query="SELECT * FROM table $where";
$result = $pdo->prepare($query);
$result->bindParam(':pos', $pos);
$result->bindParam(':country', $country);
$result->bindParam(':iscurrent', $current);
$result->bindParam(':c1stat', $c1stat); $result->bindParam(':c1comp', $c1comp); $result->bindParam(':c1val', $c1val);
$result->bindParam(':c2stat', $c2stat); $result->bindParam(':c2comp', $c2comp); $result->bindParam(':c2val', $c2val);
$result->bindParam(':c3stat', $c3stat); $result->bindParam(':c3comp', $c3comp); $result->bindParam(':c3val', $c3val);
$result->bindParam(':c4stat', $c4stat); $result->bindParam(':c4comp', $c4comp); $result->bindParam(':c4val', $c4val);
$result->execute();

我仍在尝试了解 PDO 和绑定变量，因此我正在努力进行这一工作。

$query 正在正确构建，例如，生成了带有 $country 条件的 WHERE 语句：

SELECT * FROM skaterRScareer WHERE PositionId>='2' AND CountryId=':country'

那么为什么变量没有绑定呢？提前致谢！

4

1 回答 1

1

除了数据文字，你不能绑定任何东西：

  • 字符串文字 - 好的
  • 数字文字 - 好的
  • 字符串文字的一部分 - 失败
  • 标识符 - 失败
  • 运营商 - 失败
  • 功能 - 失败
  • 语法关键字 - 失败
  • 任意查询部分 - 失败

所以——唉！- 运算符或标识符没有占位符。您必须将它们列入白名单。

您的代码还有另一个问题。您必须仅为实际进入查询的占位符绑定变量

看，如果$c3stat为空，查询中将没有:c3stat :c3comp :c3val占位符 - 因此，您也不应该绑定相应的变量

做了

if ($c3val) {
    $w[] = "some field > :c3val";
    $values[":c3val"] = $c3val;
}

也不需要在占位符周围添加引号。

这是一个关于白名单的例子

$fields     = array("name","price","qty");
$operators  = array(">","<","=");
$fkey       = array_search($_GET['sort'],$orders));
$okey       = array_search($_GET['sort'],$orders));
if ($fkey !== FALSE && $okey !== FALSE) { 
    $field  = $fields[$fkey]; 
    $op     = $operators[$okey]; 
    $query .= "$field $op :placeholder";
}
于 2013-02-27T13:30:45.470 回答