PHP 中使用动态日期执行 BETWEEN 查询的正确方法-php教程-PHP中文网

PHP 中使用动态日期执行 BETWEEN 查询的正确方法

本文详解 PHP 动态日期在 SQL BETWEEN 查询中失效的原因，并提供基于 mysqli 和 PDO 的安全、规范解决方案，重点强调参数化预处理语句防止 SQL 注入。

本文详解 php 动态日期在 sql `between` 查询中失效的原因，并提供基于 mysqli 和 pdo 的安全、规范解决方案，重点强调参数化预处理语句防止 sql 注入。

在 PHP 中直接拼接字符串构建 SQL 查询（如 $sql = "WHERE $pick_date BETWEEN ..."）看似简洁，实则存在两大严重问题：语法风险与安全漏洞。

首先，语法层面：当 $pick_date = '2022-06-06' 时，未经引号包裹的变量拼接会导致生成非法 SQL：

SELECT id FROM tblseasons WHERE 2022-06-06 BETWEEN date(se_from) AND date(se_to)

MySQL 将 2022-06-06 解析为算术表达式 2022 - 6 - 6 = 2010，而非日期字面量，从而引发逻辑错误或类型不匹配异常。即使手动加单引号（如 '$pick_date'），仍无法规避 SQL 注入——攻击者可构造 '2022-06-06' OR '1'='1' -- 等恶意输入，彻底破坏查询逻辑与数据安全。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

✅ 正确做法是完全剥离 SQL 结构与数据，使用参数化预处理语句（Prepared Statements）。数据库驱动会自动转义并安全绑定值，确保日期被严格作为字符串/日期类型处理。

✅ 推荐方案一：mysqli 预处理（面向对象风格）

$mysqli = new mysqli("localhost", "user", "dbpass", "dbname1");
if ($mysqli->connect_error) {
    die("连接失败: " . $mysqli->connect_error);
}

$pick_date = '2022-06-06';
$sql = "SELECT id FROM tblseasons WHERE ? BETWEEN DATE(se_from) AND DATE(se_to)";
$stmt = $mysqli->prepare($sql);
$stmt->bind_param("s", $pick_date); // "s" 表示字符串类型
$stmt->execute();
$result = $stmt->get_result();

while ($row = $result->fetch_assoc()) {
    echo htmlspecialchars($row['id']) . "<br>";
}
$stmt->close();
$mysqli->close();

✅ 推荐方案二：PDO 预处理（命名占位符更清晰）

try {
    $pdo = new PDO('mysql:host=localhost;dbname=dbname1;charset=utf8mb4', "user", "dbpass", [
        PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
        PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC
    ]);

    $pick_date = '2022-06-06';
    $sql = "SELECT id FROM tblseasons WHERE :pick_date BETWEEN DATE(se_from) AND DATE(se_to)";
    $stmt = $pdo->prepare($sql);
    $stmt->execute([':pick_date' => $pick_date]);

    foreach ($stmt as $row) {
        echo htmlspecialchars($row['id']) . "<br>";
    }
} catch (PDOException $e) {
    error_log("数据库错误: " . $e->getMessage());
    echo "查询失败，请稍后重试。";
}