本文详解如何在 php 中安全、正确地将动态日期变量用于 mysql 的 between 查询，重点解决因字符串拼接导致的语法错误，并推荐使用预处理语句防范 sql 注入。
本文详解如何在 php 中安全、正确地将动态日期变量用于 mysql 的 between 查询，重点解决因字符串拼接导致的语法错误，并推荐使用预处理语句防范 sql 注入。
在 PHP 与 MySQL 交互中，使用 BETWEEN 判断某个日期是否落在两个日期字段（如 se_from 和 se_to）之间是常见需求。初学者常尝试直接拼接变量，例如：
$pick_date = '2022-06-06'; $sql2 = "SELECT id FROM tblseasons WHERE $pick_date BETWEEN DATE(se_from) AND DATE(se_to)";
⚠️ 这段代码会失败——不是因为逻辑错误，而是因为 SQL 解析层面的问题：$pick_date 被直接展开为 2022-06-06，而 MySQL 要求字面量日期必须用单引号包裹（即 '2022-06-06'），否则会被解释为数学表达式 2022 - 06 - 06 = 2010，导致查询结果完全失真，甚至语法报错。
✅ 正确做法是杜绝字符串拼接，改用参数化预处理语句（Prepared Statements）。它由数据库驱动原生支持，自动处理类型转换、转义和引号封装，既保证语法严谨，又彻底阻断 SQL 注入风险。
✅ 推荐方案一：MySQLi 预处理（面向对象风格）
$conn = new mysqli("localhost", "user", "dbpass", "dbname1");
if ($conn->connect_error) {
die("连接失败: " . $conn->connect_error);
}
$pick_date = '2022-06-06';
$sql = "SELECT id FROM tblseasons WHERE ? BETWEEN DATE(se_from) AND DATE(se_to)";
$stmt = $conn->prepare($sql);
$stmt->bind_param("s", $pick_date); // "s" 表示字符串类型
$stmt->execute();
$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
echo "ID: " . htmlspecialchars($row['id']) . "<br>";
}
$stmt->close();
$conn->close();
✅ 推荐方案二：PDO 预处理（更灵活，支持命名参数）
try {
$pdo = new PDO('mysql:host=localhost;dbname=dbname1;charset=utf8mb4', 'user', 'dbpass', [
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC
]);
$pick_date = '2022-06-06';
$sql = "SELECT id FROM tblseasons WHERE :pick_date BETWEEN DATE(se_from) AND DATE(se_to)";
$stmt = $pdo->prepare($sql);
$stmt->execute([':pick_date' => $pick_date]);
foreach ($stmt as $row) {
echo "ID: " . htmlspecialchars($row['id']) . "<br>";
}
} catch (PDOException $e) {
error_log("数据库错误: " . $e->getMessage());
echo "查询失败，请稍后重试。";
}
? 关键注意事项
- 永远不要拼接用户输入或变量到 SQL 字符串中——即使看似“可信”的日期字符串（如 date('Y-m-d')）也存在时区、格式校验等潜在风险；
- DATE() 函数确保只比对日期部分（忽略时间），若字段本身是 DATE 类型可省略，但显式调用更健壮；
- 使用 htmlspecialchars() 输出结果，防止 XSS；
- 建议在数据库连接中启用 utf8mb4 字符集和严格错误模式，提升兼容性与调试效率；
- 若需处理时区，应在 PHP 层统一设置（如 date_default_timezone_set('Asia/Shanghai')），并确保 MySQL 的 time_zone 配置一致。
掌握预处理语句不仅是修复 BETWEEN 问题的钥匙，更是构建安全、可维护 PHP 数据库应用的基石。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
