使用空参数运行PHP搜索脚本将返回整个MySQL表

Question

当我通过PHP运行以下MySQL查询并且$_GET()所有元素均为空字符串时，将返回volunteers表中的所有记录（出于明显的原因）。

$first = $_GET['FirstName'];
$last = $_GET['LastName'];
$middle = $_GET['MI'];

$query = "SELECT * FROM volunteers WHERE 0=0";

if ($first){
    $query .= " AND first like '$first%'";
}

if ($middle){
    $query .= " AND mi like '$middle%'";
}

if ($last){
    $query .= " AND last like '$last%'";
}

$result = mysql_query($query);

允许将空参数发送到此脚本并$result返回空$result的最优雅方法是什么？

Answer 1

我的解决方案：

$input = Array(
    'FirstName' => 'first',
    'LastName'  => 'last',
    'MI'        => 'mi'
);

$where = Array();
foreach($input as $key => $column) {
    $value = trim(mysql_escape_string($_GET[$key]));
    if($value) $where[] = "`$column` like '$value%'";
}
if(count($where)) {
    $query = "SELECT * FROM volunteers WHERE ".join(" AND ", $where);
    $result = mysql_query($query);
}

Answer 2

如果没有任何事情可以执行，那么运行（可能）昂贵的查询毫无意义。 因此，与其尝试提​​出一个替代查询以防止搜索无条件词，不如根本没有条件，根本不要运行搜索：

$where = '';
... add clauses ...
if ($where !== '') {
   $sql = "SELECT ... WHERE $where";
   ... do query ...
} else {
   die("You didn't enter any search terms");
}

Answer 3

使用当前代码，如果所有内容均为空，则将获得WHERE 0 = 0 SQL，对于表中的所有行均为TRUE。

您所要做的就是删除if语句...