PHP：在带有 SQL 注入预防的查询中使用 IN 语句时出错

Question

我是 PHP 新手，希望有人可以帮助我。

我目前有以下 PHP，它是 jQuery 中 Ajax 调用的一部分。 当手动输入 ID 而不是 ?（例如 1,2,3,4,5）这会按预期工作但是当我使用下面的查询时它只返回一个项目如下所示，所以我相信 IN(?) 的组合和我防止 SQL 注入的尝试在这里不起作用。

谁能告诉我我在这里做错了什么？
此外，这会创建一个多维数组，我想知道这是否可以简化，因为我只需要每个项目的 ID (tID) 和值 (content)。

我的 PHP：

$content = implode(",", $_POST["content"]);  // an array containing IDs retrieved from Ajax
$languageFrm = $_POST["languageFrm"];

$stmt = $conn->prepare("SELECT tID, " . $languageFrm . " FROM TranslationsMain WHERE tID IN(?) ORDER BY tID");
$stmt->bind_param("s", $content);
$stmt->execute();
$result = $stmt->get_result();
while($arrTranslations = $result->fetch_assoc()){
    $translations[] = array("tID" => $arrTranslations["tID"], "content" => $arrTranslations[$languageFrm]);
}
var_dump($translations);

Ajax 中的当前结果：

array(1) {
  [0]=>
  array(2) {
    ["tID"]=>
    int(1)
    ["content"]=>
    string(6) "Value1"
  }
}

更新：
我的问题是，即使发布的链接和当前答案似乎是指正确的解决方案，我也无法让其余的 PHP 代码正常工作，因为每当我使用建议的解决方案之一时，我都会收到错误“Call to a member function fetch_assoc() on a non-object...” .

非常感谢您对此的任何帮助，
迈克

Answer 1

您将字符串绑定到 SQL 代码中的单个参数。这意味着您的 SQL 转换为 SELECT something FROM table WHERE attribute IN ("1,2,3,4,5")，这显然不是您想要的。

您正在尝试将多个参数动态绑定到您的 SQL。这可以通过在准备好的语句中动态设置参数的数量来实现，如PHP manual under Example #5 of PDOStatement::execute() 所示。我在手册中添加了这个作为一般示例，因为它是一个非常常见的用例。

---

由于您在这里使用的是 MySQLi 而不是 PDO，因此我将提供 MySQLi 等效示例...

$params = $_POST["content"];

$place_holders = implode(',', array_fill(0, count($params), '?'));


$stmt = $conn->prepare("SELECT tID, " . /* no way on earth will I ever do
                                           this $languageFrm */ null .
                       " FROM TranslationsMain WHERE tID IN($place_holders) ORDER BY tID");
// substitute PDO::execute() for call_user_func_array to bind_params because MySQLi sucks
call_user_func_array([$stmt, 'bind_param'], $params);
$stmt->execute();
$result = $stmt->get_result();
while($arrTranslations = $result->fetch_assoc()){
    $translations[] = array(
                            "tID" => $arrTranslations["tID"],
                            "content" => $arrTranslations[$languageFrm],
                           );
}
var_dump($translations);

---

您仍然容易受到 SQL 注入的攻击

还请考虑到您的准备好的语句容易受到 SQL 注入的影响，因为您将用户提供的输入直接连接到来自行中 $_POST["languageFrm"] 的 SQL 语句是不安全的

$stmt = $conn->prepare("SELECT tID, " . $languageFrm .
        " FROM TranslationsMain WHERE tID IN(?) ORDER BY tID");

你准备好的语句中那个大红色的 $languageFRM 来自用户输入，是你的 SQL 代码的一部分，也就是说，你在查询中使用参数的所有努力在这里都毫无用处。