JSON 中的 PDO 命名参数

Question

我的数据应该在 JSON 格式的字符串中进行转义，因此我使用 PDO 的命名参数和 PDO::Prepare 来绑定它们。 因为带有撇号的 JSON 在 MySQL 查询中会导致错误，所以我必须在它周围使用单引号 - 尽管这会导致 PDO::Prepare 忽略 JSON 中的命名参数，所以它会因SQLSTATE[HY093]: Invalid parameter number: parameter was not defined 而失败。

任何想法如何解决这个问题？

function send($_data) {
  global $_SESSION;
  global $dbApi;

  #These are temporary debug variables:
  $_SESSION['room_id'] = 1;
  $id = 124;

  $json  = '"' . $id . '": {"user_id": ":email","data": ":data"}';
  $query  = "UPDATE `room_index` " . 
            "SET `data` = JSON_ARRAY_INSERT(`data`, '$[0]', '" . $json . "') " .
            "WHERE `id` = :room_id";

  $dbApi->query($query, array(':email' => $_SESSION['email'],
                              ':data' => $_data,
                              ':room_id' => $_SESSION['room_id']));
}

稍微解释一下代码，:email ($_SESSION['email']) 不一定是参数，但这样更简洁。主要问题是:data ($_data) - 即用户通过 JS 直接从textarea 输入。

$dbApi 是一个具有正确query 函数的类，如下所示：

function query($_query, $_params = array()) {
  global $_DB; # <- Database connection object

  $query = $_DB->prepare($_query);

  if (! $query)
    echo $_DB->errorInfo();
  try {
    $query->execute($_params);
  } catch (PDOException $e) {
    die( $e->getMessage() );
  }

  return $query;
}

Answer 1

代码有 2 个问题。

1。 JSON_INSERT 更合适。

当我将命名对象插入另一个对象（顶级文档）时，JSON_INSERT 立即提供了这样的语法

2。使用 JSON_OBJECT 而不是手动编写 JSON 语法

由于我的主要问题是，PDO 不会替换单引号或双引号参数，因此解决方案是使用 JSON_OBJECT，它不需要双引号，因为它们稍后会自动生成（我的假设） - 但在 PDO 替换之后变量，并在它们周围放置单引号。

新的、经过测试的代码输出有效的 JSON：

#Temporary, to avoid other unrelated issues
$_SESSION['room_id'] = 1;
$_SESSION['email'] = 'email@email.com';
$id = 123;

$json  = 'JSON_OBJECT("user_id", :email, "data", :data)';
$query  = "UPDATE `room_index` " . 
          "SET `data` = JSON_INSERT(`data`, :id, $json) " .
          "WHERE `id` = :room_id";

$dbApi->query($query, [':id' => "$." . $id,
                       ':email' => $_SESSION['email'],
                       ':data' => $_data,
                       ':room_id' => $_SESSION['room_id']]);