Postgres查询中引号中的变量

Question

这可能是一个愚蠢的问题，但我在谷歌上搜索了大部分时间的答案，却一无所获。我正在尝试使以下代码工作，但找不到有关如何在 PHP 中正确格式化准备好的 Postgres 请求的任何帮助。

$foo = $_GET[bar];    

echo $foo; // 5555

//what I'm trying to do:
pg_prepare($dbconn,"table_query","SELECT Members FROM programs WHERE programID = '$1' ");
pg_execute($dbconn,"table_query", array($foo));

如果我用一个值对语句进行硬编码，它可以正常工作，但前提是我包含单引号。我已经尝试了几乎所有可以找到的方法来转义单引号或将引号附加到字符串，但我能得到的只是解析错误。

我错过了什么明显的东西？

编辑：更改了 sn-p 以澄清我得到的变量不包含引号。我尝试添加引号的任何方法都失败了。

Answer 1

让我们研究一个完整的例子。假设您从设置名称 pid 的 GET 查询中获得值。从您的示例查询中，我希望该值是整数的十进制表示，不同于零。它是一个字符串，因为 GET 查询不能提供任何其他内容。

 $pid = $_GET['pid'];

 // This is _very_ important.
 // Anything that comes from outside must be validated or sanitized.
 // FILTER_VALIDATE_INT refuses "0" too (correct if needed).
 if (filter_var($pid, FILTER_VALIDATE_INT) === false) {
   // Deal with invalid input 
 }

 $result = pg_query_params($dbconn,
     'SELECT Members FROM programs WHERE programID = $1',
     array($pid)
 );

pg_query_params 将 $1 与 $pid 绑定并正确引用它，而您不能在语句周围使用双引号，因为 PHP 会错误地扩展 $1。无需手动在$pid 周围加上引号，因为pg_query_params 会处理这个问题。此外，PostgreSQL 接受带引号和不带引号的整数值，因此在这种情况下摸索引号是没有意义的。

您可以使用 PHP 数据库对象抽象层 PDO，而不是使用传统的 pg_ 函数。 在这种情况下（忽略您的情况所需的可能选项）：

  $dsn = 'pgsql:host='. $host .';port=5432;dbname='. $database;
  $dbh = new PDO($dsn, $user, $password);
  $dbh->prepare('SELECT Members FROM programs WHERE programID = ?');
  $result = $dbh->execute(array($pid)); // $pid as before

Answer 2

您应该使用准备好的语句。这应该可以解决您的引用问题，并消除 SQL 注入的主要风险。试试这样的：

$stmt = $conn->prepare("SELECT Members FROM programs WHERE programID = ?");
$stmt->bind_param("s", $foo);

$foo = "5555";
$stmt->execute();