如何使用 LIKE 语句创建 PDO 参数化查询？

Question

这是我的尝试：

$query = $database->prepare('SELECT * FROM table WHERE column LIKE "?%"');

$query->execute(array('value'));

while ($results = $query->fetch()) 
{
    echo $results['column'];
}

Answer 1

我有类似的需求，但使用的是从表单中获取的变量。我这样做是为了使用 PHP 从我的 PostgreSQL 数据库中获取结果：

<?php
     $player = $_POST['search'];  //variable from my search form
     $find = $sqlPDO->prepare("SELECT player FROM salaries WHERE player ILIKE ?;");
     $find->execute(['%'.$player.'%']);

     while ($row = $find->fetch()) {
         echo $row['player']."</br>";
     }
?>

“ILIKE”使搜索不区分大小写，因此搜索购物车或购物车或购物车都将返回相同的结果。

Answer 2

对于那些使用命名参数的人，这里是如何使用LIKE 和% 部分匹配MySQL 数据库：

WHERE column_name LIKE CONCAT('%', :dangerousstring, '%')

其中命名参数为:dangerousstring。

换句话说，在您自己的查询中使用明确未转义的% 符号，这些符号是分开的，绝对不是用户输入。

编辑： Oracle 数据库 的连接语法使用连接运算符：||，因此它会变成：

WHERE column_name LIKE '%' || :危险字符串 || '%'

但是，@bobince 提到 here 时有一些注意事项：

difficulty 当您希望在 搜索字符串，而不是作为通配符。

因此，在组合 like 和参数化时，还有其他需要注意的地方。

Answer 3

我从php delusions得到这个

$search = "%$search%";
$stmt  = $pdo->prepare("SELECT * FROM table WHERE name LIKE ?");
$stmt->execute([$search]);
$data = $stmt->fetchAll();

它对我有用，非常简单。就像他说的那样，在将其发送到查询之前，您必须“先准备好我们的完整文字”

Answer 4

这行得通：

search `table` where `column` like concat('%', :column, '%')

Answer 5

PDO 转义“%”（可能导致 sql 注入）：使用前面的代码在寻找匹配部分字符串时会给出期望的结果 BUT 如果 a访问者键入字符“%”，即使数据库中没有存储任何内容，您仍然会得到结果（可能导致 sql 注入）

我已经尝试了很多变体，所有结果都相同 PDO 正在转义“%”导致不想要/不兴奋的搜索结果。

我虽然值得分享，如果有人在它周围找到了一个词，请分享它

Answer 6

你也可以试试这个。我遇到了类似的问题，但经过研究得到了结果。

$query = $pdo_connection->prepare('SELECT * FROM table WHERE column LIKE :search');

$stmt= $pdo_connection->prepare($query);

$stmt->execute(array(':search' => '%'.$search_term.'%'));

$result = $stmt->fetchAll(PDO::FETCH_ASSOC);

print_r($result);

Answer 7

$query = $database->prepare('SELECT * FROM table WHERE column LIKE ?');
$query->bindValue(1, "%$value%", PDO::PARAM_STR);
$query->execute();

if (!$query->rowCount() == 0) 
{
    while ($results = $query->fetch()) 
    {
        echo $results['column'] . "<br />\n";
    }       
} 
else 
{
    echo 'Nothing found';
}

Answer 8

我发帖后马上想通了：

$query = $database->prepare('SELECT * FROM table WHERE column LIKE ?');
$query->execute(array('value%'));

while ($results = $query->fetch())
{
    echo $results['column'];
}