MySQL查询中的多个PHP变量

Question

我正在尝试编辑一些我从PHP数据库中获取数据的PHP代码，它实际上是获取数据并将其格式化为json对象。 该查询使用一个名为“ start”的php变量。 我无法工作的是让它考虑mysql查询的php文件中名为klass另一个变量，当我添加它时，它只是返回一个空的json数组，这表明传递给数据库的查询有问题。

这是原始代码：

<?php

include_once 'db.php';
//getting the varibles into PHP

$start = 0;
if(isset($_GET['start'])) {
     $start = $_GET['start'];
}

if(isset($_GET['klass'])) {
 $klass= $_GET['klass'];
}
//sql statement
$sql = "SELECT * FROM `table` WHERE `column2` > 0 ORDER BY `column1` ASC LIMIT :start ,30";

$stmt = $pdb->prepare($sql);
$stmt->bindValue(':start', (int) $start, PDO::PARAM_INT);
$stmt->execute();

//putting data into array
$data = array();
while($row = $stmt->fetch()) {
 $data[] = array(
      'id' => $row['id'],
      'column1' => $row['column1'],
      'column2' => $row['column2'], 
      'column3' => $row['column3'],
      'column4' => $row['column4'],
      'column5' => $row['column5']
      );
 $start++;
}

//send back data in json format
echo json_encode(array('nextAmt' => $start, 'laxor' => $data));
?>

这样可以很好地工作，并且效果很好，并将正确的数据发送回javascript jquery.post函数。

但我试图将PHP变量添加到查询中，如下所示：

//sql statement

$sql = "SELECT * FROM `table` WHERE `column2` > 0 AND `klass` = " . $klass . "ORDER BY `column1` ASC LIMIT :start ,30";

并使用这样的另一个binValue

//sql statement

$sql = "SELECT * FROM `table` WHERE `column2` > 0 AND `klass` = :klass ORDER BY `column1` ASC LIMIT :start ,30";

$stmt = $pdb->prepare($sql);
$stmt->bindValue(':start', (int) $start, PDO::PARAM_INT);
$stmt->bindValue(':klass', (str) $klass, PDO::PARAM_INT);
$stmt->execute();

而且它们似乎都不起作用，我认为“ klass”变量无法正确插入查询中。

我应该如何以正确的方式来做？

谢谢！

Answer 1

好的，在这一行上，您在$ klass变量后缺少空格，我在这里为您修复了该空格

//sql statement

$sql = "SELECT * FROM `table` WHERE `column2` > 0 AND `klass` = {$klass} ORDER BY `column1` ASC LIMIT {$start} ,30";

Answer 2

字符串需要像这样用引号引起来

`klass` = " . $klass . "

你应该使用

`klass` = '" . $klass . "'

对于所有字符串，您需要添加引号。

Answer 3

`klass` = " . $klass . "ORDER BY `column1`
                        ^ You have missed a whitespace after end of double quote 

用这个替换您的查询

$sql = "SELECT * FROM `table` 
  WHERE `column2` > 0 AND `klass` = " . $klass . " 
  ORDER BY `column1` ASC LIMIT :start ,30";         

Answer 4

您最后的方法是正确的。 $klass实际上是一个数值吗？ 如果不是，请尝试使用PDO::PARAM_STR而不是PDO::PARAM_INT并删除(int) PDO::PARAM_INT 。

您已经在使用准备好的语句，因此请不要使用它， 不要直接添加PHP变量。 您将再次打开用于SQL注入的脚本。

Answer 5

不好的事情是，只有在设置了$_GET['klass']情况下才设置$klass ，但是无论定义与否，都可以在任何情况下使用它。

我确定您的结果查询是这样的：

SELECT * 
FROM `table` 
WHERE 
    `column2` > 0 AND 
    `klass` = 0 
ORDER BY `column1` ASC 
LIMIT 0 ,30

这是php中的小技巧： (int)对于未定义的变量返回0 （而您在bindValue做了这个技巧— (int) $klass ）。 例如：

$a = (int)$b;
echo $a;
//Outputs 0, even if $b was not defined. No errors/warnings

因此，您尝试获取klass为0所有行。 我认为您在klass为零的表中没有记录。 结果，您收到了空结果。

我将以这种方式重写您的代码：

$klass_piece = isset($klass) ? ' AND `klass` = :klass' : '';
$sql = "SELECT * FROM `table` WHERE `column2` > 0" . $klass_piece . " ORDER BY `column1` ASC LIMIT :start ,30";

$stmt = $pdb->prepare($sql);
$stmt->bindValue(':start', (int) $start, PDO::PARAM_INT);

if (isset($klass)) {
    $stmt->bindValue(':klass', (int) $klass, PDO::PARAM_INT);
}

$stmt->execute();