如何在 Zend Framework 中转义复杂的 sql？

Question

我有以下 sql（实际问题的简化）：

SELECT *
FROM t
WHERE myname LIKE '%{$input}%';

如何转义 $input？
我无法使用 quoteInto （除非我错过了什么）。
正如

$sql=$DB->quoteInto("SELECT *
                     FROM t
                     WHERE myname LIKE '%?%'",$input);

威尔给我

SELECT *
FROM t
WHERE myname LIKE '%'my input'%';

和

$sql=$DB->quoteInto("SELECT *
                     FROM t
                     WHERE myname LIKE ?",'%'.$input.'%');

威尔给我一些话：

SELECT *
FROM t
WHERE myname LIKE '\%my input\%';

Answer 1

最后一个选项对我来说效果很好，我还没有经历过它转义“%”。 因此 $db->quote('%'.$_GET['query'].'%') 输出 %queryvalue%

Answer 2

解决方案非常简单。 Zend_Db 有一个表达式类可以帮助您解决它。

$select = $this->select()
->where('value LIKE("?")', new Zend_Db_Expr('%' . $value . '%'))

$this->fetchAll( $select );

Answer 3

您可以在 SQL 级别进行 $input 的串联：

$sql=$DB->quoteInto("SELECT * FROM t WHERE myname LIKE '%'|| ? ||'%'",$input);

不幸的是，当您希望 $input 能够包含文字“%”或“_”字符时，这不可用。 要解决这个问题，请指定一个显式的 LIKE-ESCAPE 字符并自行转义它们：（

$inputlike= '%'.preg_replace('[%_=]', '=$0', $input).'%';
$sql=$DB->quoteInto("SELECT * FROM t WHERE myname LIKE ? ESCAPE '='", $inputlike);

它可以是任何字符，不一定是“=”。这也解决了 MySQL 中未指定时 ESCAPE 默认为“\”的错误。）

不幸的是，SQL Server 也将“[”字符视为特殊字符，以执行类似正则表达式的字符组。 因此，如果您的数据库是 SQL Server，则必须在 preg_replace 的组中包含“[”。 不幸的是，在其他不需要转义的 DBMS 上，转义 '[' 并不是有效的 ANSL SQL。

Answer 4

很简单：

$sql=$DB->quoteInto("SELECT *
                     FROM t
                     WHERE myname LIKE ?",'%' . $input . '%');

//Will output: SELECT FROM t WHERE myname LIKE '%inputtedvalue%'


$sql=$DB->quoteInto("SELECT *
                     FROM t
                     WHERE myname LIKE ?",'%' . $input);

//Will output: SELECT FROM t WHERE myname LIKE '%inputtedvalue'


$sql=$DB->quoteInto("SELECT *
                     FROM t
                     WHERE myname LIKE ?", $input . '%');

//Will output: SELECT FROM t WHERE myname LIKE 'inputtedvalue%'


$sql=$DB->quoteInto("SELECT *
                     FROM t
                     WHERE myname LIKE ?", $input);

//Will output: SELECT FROM t WHERE myname LIKE 'inputtedvalue'

问题是什么？

:)

Answer 5

问题是，我们想转义特殊字符
手动替换它们会有点脏，但如果没有解决方案......

Answer 6

更简单的是：

$table->select()->where("myname LIKE ?", '%'.$input.'%');

Answer 7

您可以只使用 zf 在字符串上使用的函数 addcslashes($value, "\000\n\r\'\"\032"); ，这将以 zf 使用的相同方式替换字符串，或者您可以（在mysql的情况下）使用mysql_real_escape_string，

无论哪种方式，你都不会使用数据库引用函数之一，

我确实想知道数据库类中是否有一种方法可以做到这一点，但我不知道应该有一个方法。