如何使用 LIKE 语句创建 PDO 参数化查询？

Question

这是我的尝试：

$query = $database->prepare('SELECT * FROM table WHERE column LIKE "?%"');

$query->execute(array('value'));

while ($results = $query->fetch()) 
{
    echo $results['column'];
}

Answer 1

我发帖后就明白了：

$query = $database->prepare('SELECT * FROM table WHERE column LIKE ?');
$query->execute(array('value%'));

while ($results = $query->fetch())
{
    echo $results['column'];
}

Answer 2

对于使用命名参数的用户，以下是如何将 LIKE 与 % 部分匹配用于 MySQL 数据库：

WHERE column_name LIKE CONCAT('%', :dangerousstring, '%')

其中命名参数为 :dangerousstring。

换句话说，在您自己的查询中使用显式未转义的 % 符号，这些符号是分开的，并且绝对不是用户输入。

编辑：Oracle 数据库的串联语法使用串联运算符：||，因此它会简单地变为

WHERE column_name LIKE '%' || :dangerousstring || '%'

： 此处提到：

的
难度
当您希望在文本中允许使用文字 % 或 _ 字符时出现
搜索字符串，而不将其用作通配符。

因此，在组合 like 和参数化时，还有其他需要注意的地方。

Answer 3

$query = $database->prepare('SELECT * FROM table WHERE column LIKE ?');
$query->bindValue(1, "%$value%", PDO::PARAM_STR);
$query->execute();

if (!$query->rowCount() == 0) 
{
    while ($results = $query->fetch()) 
    {
        echo $results['column'] . "<br />\n";
    }       
} 
else 
{
    echo 'Nothing found';
}

Answer 4

你也可以尝试一下这个。 我面临类似的问题，但经过研究后得到了结果。

$query = $pdo_connection->prepare('SELECT * FROM table WHERE column LIKE :search');

$stmt= $pdo_connection->prepare($query);

$stmt->execute(array(':search' => '%'.$search_term.'%'));

$result = $stmt->fetchAll(PDO::FETCH_ASSOC);

print_r($result);

Answer 5

这有效：

search `table` where `column` like concat('%', :column, '%')

Answer 6

我从 php delusions 得到这个，

$search = "%$search%";
$stmt  = $pdo->prepare("SELECT * FROM table WHERE name LIKE ?");
$stmt->execute([$search]);
$data = $stmt->fetchAll();

它对我有用，非常简单。 就像他说的，在将其发送到查询之前，您必须“先准备好完整的文字”

Answer 7

PDO 转义“%”（可能导致 sql 注入）：在查找匹配部分字符串时，使用前面的代码将给出所需的结果但是如果访问者键入字符“%”，即使数据库中没有存储任何内容，您仍然会得到结果（它可能会导致sql注入）

我尝试了很多变体，结果都相同 PDO 正在转义“%”，导致不需要的内容/不兴奋的搜索结果。

我认为值得分享，如果有人找到了与之相关的词，请分享

Answer 8

我有类似的需求，但使用的是从表单中抓取的变量。 我这样做是为了使用 PHP 从 PostgreSQL 数据库获取结果：

<?php
     $player = $_POST['search'];  //variable from my search form
     $find = $sqlPDO->prepare("SELECT player FROM salaries WHERE player ILIKE ?;");
     $find->execute(['%'.$player.'%']);

     while ($row = $find->fetch()) {
         echo $row['player']."</br>";
     }
?>

“ILIKE”使搜索不区分大小写，因此搜索 cart 或 Cart 或 cARt 将返回相同的结果。

Answer 9

我可以让它工作的唯一方法是将 %$search% 放入另一个变量中。

    if(isset($_POST['submit-search'])){
         $search = $_POST['search'];
   }
    
        $query = 'SELECT * FROM posts WHERE post_title LIKE :search';
        $value ="%$search%";
        $stmt= $pdo->prepare($query);
        
        $stmt->execute(array(':search' => $value));

我不知道这是否是最好的方法，在我使用的 while 循环中：

while ($r = $stmt->fetch(PDO::FETCH_ASSOC)){