创建用于过滤数据表的自定义WHERE子句

Question

我正在使用datatables，我正在尝试创建一个自定义WHERE子句。 我有以下代码：

$sWhere = "WHERE office=".$varOffice;
if ( isset($_GET['sSearch']) && $_GET['sSearch'] != "" )
{
    $sWhere = "WHERE (";
    for ( $i=0 ; $i<count($aColumns) ; $i++ )
    {
        if ( isset($_GET['bSearchable_'.$i]) && $_GET['bSearchable_'.$i] == "true" )
        {
            $sWhere .= "`".$aColumns[$i]."` LIKE '%".mysql_real_escape_string( $_GET['sSearch'] )."%' OR ";
        }
    }
    $sWhere = substr_replace( $sWhere, "", -3 );
    $sWhere .= ') AND office='.$varOffice;
}

经过调试，我发现MySQL正在抛出一个错误。 错误1605。

我决定$sQuery这里找到的$sQuery ：

$sQuery = "
        SELECT SQL_CALC_FOUND_ROWS `".str_replace(" , ", " ", implode("`, `", $aColumns))."`
        FROM   $sTable
        $sWhere
        $sOrder
        $sLimit
        ";

然后我发现错误是因为WHERE子句没有引号，如：

SELECT SQL_CALC_FOUND_ROWS `amount_due_owed`, `amount_paid`, `amount_remaining`, `reference_number` FROM accounting WHERE office=Office 1 

它应该是：

WHERE office='Office 1'

我一直在尝试，但我无法弄明白。 我怎么能在变量周围得到单引号？

Answer 1

在第一行添加单引号：

$sWhere = "WHERE office='".$varOffice."'";

另外：如果你只是在你的SQL查询中插入随机的$_GET变量，你最终会遇到不好的时间 。 请使用PDO或更安全的东西（甚至mysql_real_escape_string()不安全。）。