PHP 中的基本 SQL Select 语句格式

Question

我有一个可搜索的众议院和参议院数据库，我只想制作一个可以搜索该数据库的简单网页。唯一的问题是，虽然我可以轻松编写 SQL select 语句，但如何正确格式化它们以便在 PHP 中使用？

例如，这是我按州选择参议员的单选按钮：

$sql = "";
if ($_POST['pkChamber'] == "Senate") {
    if ($_POST['pkParty'] == "Y") {
        $sql = SELECT * FROM senateinfo
               WHERE state =  (Variable = "stname")
               ORDER BY last_name, first_name');
    }
    else
    {
        $sql = SELECT * FROM senateinfo
               WHERE state =  (Variable = "stname")
               ORDER BY last_name, first_name
    }
}

Answer 1

我不确定你在要求什么，但我有一个动态构建 WHERE 语句的可靠且安全的方法的好例子：

$w     = array();
$where = '';

if (!empty($_GET['rooms']))     $w[]="rooms='".mysql_real_escape_string($_GET['rooms'])."'";
if (!empty($_GET['space']))     $w[]="space='".mysql_real_escape_string($_GET['space'])."'";
if (!empty($_GET['max_price'])) $w[]="price < '".mysql_real_escape_string($_GET['max_price'])."'";

if (count($w)) $where = "WHERE ".implode(' AND ',$w);
$query = "select * from table $where";

希望这会有所帮助。

Answer 2

你的查询看起来不错。我认为您只需要了解 PHP 中字符串解析的一些细节即可。

当您使用双引号 (") 括住字符串时，PHP 实际上会尝试解析它，查找变量和/或其他要首先处理的 php 代码。类似这样：

$sql = "SELECT * FROM table WHERE state = '{$state}' AND user = {$user->id}";

PHP 会用 $state 替换该变量中定义的内容对于在该类中实例化的任何用户的 id 也是如此（此外，您不必将简单变量包装在 {} 中。它确实有助于提高可读性，但仅对类方法/变量是必需的。）

如果您使用单引号 (') 来括起一个字符串，PHP 只是将其视为正常的。 对于上面的查询，我建议将其括在单引号中，如下所示：

$sql = 'SELECT * FROM senateinfo WHERE state =  (Variable = "stname") ORDER BY last_name, first_name)';

如果稍后要在此查询中使用变量，那么您将需要。 这样，当您所做

$sql = "SELECT * FROM senateinfo WHERE state =  (Variable = \"stname\") ORDER BY last_name, first_name)";

的只是粘贴查询时，PHP 就不会错误地认为您试图错误地连接字符串。

Answer 3

您需要一次专注于一个问题。

尽量避免在 PHP 中编写 SQL，直到您清楚地掌握 PHP 中的字符串以及如何将变量注入到这些字符串中。所以：

阅读 PHP 中的字符串引用（双引号与单引号，是的，HEREDOC）

阅读 PHP 中字符串中的变量（请注意，如果它没有 $ 美元符号，则它是一个常量，而不是一个字符串变量。从应该使用它们的 $strings 和 $variables 开始，而不是 CONSTANT，只有在没有其他可用的情况下，它们才会转为字符串。）

阅读 PHP 中的绑定 SQL。其他任何事情都会引导您走上SQL 注入之路。如果您的 PHP SQL 中仅使用裸字符串，那么当您最终将 Web 脚本部署到严酷无情的 Internet 时，您就会面临失败。它充满了随时准备利用 SQL 注入脚本的鲨鱼。

这是我每天用来绑定 SQL 的代码示例，以自定义函数为中心，使其变得简单：

query("select * where someTable where someTable_id = :bound_id", array(':bound_id'=>13)); 

我可以为您提供一个用于创建绑定 SQL 的函数，就像稍后那样（当我实际上在计算机而不是移动设备上时）如果你有兴趣的话。

Answer 4

我使用 HEREDOC 来编写重要的查询：

$sql = <<<EOL
SELECT blah, blah, blah
FROM table
WHERE (somefield = {$escaped_value}) ...
ORDER BY ...
HAVING ...
EOL;

Heredocs 的功能就像您执行了常规双引号一样字符串，但好处是没有转义内部引号。变量插值按预期工作，您也可以对文本进行缩进，因此您的查询看起来格式很好

Answer 5

我总是这样做，以保持它看起来漂亮。

$sql = "SELECT * FROM senateinfo " .
       "WHERE state =  (Variable = "stname") " .
       "ORDER BY last_name, first_name')";