如何将 pdo 的准备语句用于 order by 和 limit 子句？

Question

我想使用一个准备好的语句，其中传入的参数用于 ORDER BY 和 LIMIT 子句，如下所示：

$sql = 'SELECT * FROM table ORDER BY :sort :dir LIMIT :start, :results';
$stmt = $dbh->prepare($sql);
$stmt->execute(array(
     'sort'  => $_GET['sort'], 
     'dir'  => $_GET['dir'], 
     'start'  => $_GET['start'],
     'results' => $_GET['results'],
     )
    );

But $stmt->fetchAll (PDO::FETCH_ASSOC); 不返回任何内容。

有人可以指出我做错了什么吗？能做到吗？如果没有，我应该参考什么来获取可以使用参数的完整子句列表？

Answer 1

使用后：

$dbh->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

我收到消息：

未捕获的异常“PDOException”
消息'SQLSTATE[42000]：语法错误
或访问冲突：1064 您有一个
SQL 语法错误；检查
与您的 MySQL 对应的手册
服务器版本的正确语法
在第 1 行的“0”、“10”附近使用

因此，当您使用数组执行时，它会将您的输入视为字符串，这对于 LIMIT 来说不是一个好主意

$dbh->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$sql = "SELECT * FROM table ORDER BY :sort :dir LIMIT :start, :results";
$stmt = $dbh->prepare($sql);
$stmt->bindParam(':start', $_GET['start'], PDO::PARAM_INT);
$stmt->bindParam(':results', $_GET['results'], PDO::PARAM_INT);
$stmt->bindParam(':sort', $_GET['sort']);
$stmt->bindParam(':dir', $_GET['dir']);
$stmt->execute();

$data = $stmt->fetchAll(PDO::FETCH_ASSOC);
print_r($data);

Answer 2

准备好的语句允许 DBMS 在实际执行针对您提供的参数的查询之前为您的查询生成查询计划。更改 ORDER BY 的字段需要不同的查询计划，因为以不同的方式对数据进行排序可能会极大地影响 DBMS 选择获取数据的方式：例如，某些索引在一种情况下可能会有所帮助，但不在另一个。因此，ORDER BY 字段应构成传递给 prepare() 方法的 SQL 字符串的一部分，而不是在 execute( ）。

至于 LIMIT 子句，尚不清楚其参数是否会影响查询计划，因此这些参数可能会在稍后绑定，这可能取决于您的 DBMS。根据这个SO答案应该允许它。

Answer 3

您不能绑定参数来指定语言关键字或字段名称 - 它必须替换文字。因此，我认为你的极限值很好，但你的排序依据却不行。最好手动替换字符串中的 sort 和 dir。转义它们，但不要使用数据库工具来执行此操作，因为它们不是字符串文字。基本上确保不存在特殊字符。

Answer 4

虽然这个问题相当老了，但我认为它可能仍然很有趣。对我来说，在我

1. 将bindParam与PDO::PARAM_INT结合使用之后，就像
2. 在通过调用intval()将变量内容转换为整数值

之前所建议的那样，它的相关部分代码如下所示：

    $stmt->bindParam(':start', intval($_GET['start']), PDO::PARAM_INT);
    $stmt->bindParam(':number', intval($_GET['number']), PDO::PARAM_INT);

不使用 intval() 我还收到了错误语法错误或访问冲突：1064 您的 SQL 语法中有错误；检查与您的 MySQL 服务器版本相对应的手册，了解在第 1 行“0”、10”附近使用的正确语法