PHP：PDOStatement 简单 MySQL Select 不起作用

Question

我有以下 PHP 代码，对表进行了非常简单的选择。

$statement = $db->prepare("SELECT * FROM account WHERE fbid = :fbid");
$statement->bindParam(":fbid",$uid, PDO::PARAM_STR,45);
$out = $statement->execute();
print_r($out) // 1;
//$out = $statement->execute(array(':fbid' => $uid)); // also doesn't work
$row = $statement->fetch();

$out 为 true（成功），但 $row 为 null。

编辑：

$statement->debugDumpParams();

输出

SQL: [40] SELECT * FROM account WHERE fbid = :fbid Params: 1 Key: Name: [5] :fbid paramno= -1 name=[5] ":fbid" is_param=1 param_type=2

如果我修改代码如下：

$statement = $db->prepare("SELECT * FROM account WHERE fbid = $uid");
$out = $statement->execute();
$row = $statement->fetch();

$row 包含我期望的记录。

我不知所措。我正在使用 PDO::prepare()、bindParams() 等来防止 SQL 注入（也许我错了）。

编辑： 在我的示例中，$uid 是一个数字字符串（即仅包含数字的字符串）。在数据库中，列类型为 VARCHAR(45)

编辑：

如果我将数据库类型从 VARCHAR(45) 更改为 BIGINT，则两个查询都可以工作。如果我再次将数据库类型中的类型更改回 VARCHAR(45)，它就可以工作。那么什么给出呢？

请停下来。

Answer 1

您需要检查您的 fbid 值。如果它的整数值大于 2^32（无符号），它应该始终是字符串，简单地通过 (string)$uid 进行转换是行不通的，并且 sprintf("%.0f",...) 仅在整数值时才有效小于 2^52，因为在 32 位操作系统上，当数字大于 2^31（32 无符号）时，PHP 将假定它是 double 类型，并且默认精确值仅为十进制 14，但 fbid 为 20。

您必须将 fbid 保留在string在PHP中只包含[0-9]，不管它在MySQL中存储为BIGINT还是VARCHAR，MySQL只接受字符串sql语句，并且总是以字符串格式返回结果。

$mi = new mysqli("localhost", "root", "xxx", "test");
$uid = "12379739851403943597";   // Works
//$uid = 12379739851403943597;   // never Works
//$uid = (string) 12379739851403943597;   // get "1.2379739851404E+19" wrong string !
//$suid = sprintf("%.0f", $uid);          // get "12379739851403943936" lost precise

$stmt = $mi->prepare("select * from bitest where id = ?");
$stmt->bind_param('s', $uid);

$stmt->execute();
$stmt->bind_result($id, $name);

$stmt->store_result();
print "numrow: " . $stmt->num_rows . " - \n";
$stmt->fetch();
print "$id - $name \n";
$stmt->free_result();

$stmt->close();


$pdo = new PDO('mysql:host=localhost;dbname=test', 'root', 'xxx');
$sql = "select * from bitest where id = ?";

$sth = $pdo->prepare($sql);
$sth->bindParam(1, $uid, PDO::PARAM_STR);

$sth->execute();
var_dump($sth->fetchAll(PDO::FETCH_ASSOC));

Answer 2

我认为您的 PDO 安装可能存在问题。

$uid = 552192373; // my facebook uid for testing
$statement = $db->prepare("SELECT * FROM users WHERE facebook_uid = :fbid");
$statement->bindParam(":fbid",$uid, PDO::PARAM_STR,45);
$out = $statement->execute();
$row = $statement->fetch(PDO::FETCH_ASSOC);
echo '<pre>';
print_r($row);
echo '</pre>';

返回：

Array
(
    [id] => 1
    [facebook_name] => Jason Boehm
    [facebook_uid] => 552192373
)

Answer 3

已经有一段时间了...尝试将哈希值传递给 execute :

$statement->execute(array( 'fbid' => $uid ));

Answer 4

也许可以尝试 PDO::PARAM_INT

除此之外，请记住bindParam() 将变量作为引用。也许您的演示代码没有显示您在调用execute() 之前更改该变量的值。如果需要，请参见bindValue()。

Answer 5

尝试删除额外的参数，

$statement->bindParam (":fbid", $uid, PDO::PARAM_STR);

（编辑）
您是否 100% 确信 UID 周围没有多余的空格？使用 trim() 进行测试并通过按价值：

$statement->bindValue (":fbid", trim($uid), PDO::PARAM_STR);