应使用filter_input()安全获取分页参数并校验范围，动态构建where条件数组过滤空值，排序字段和方向须白名单校验，执行顺序为先查总数再查分页数据，pdo查询必须bindvalue绑定所有变量。
分页参数怎么安全获取和校验
直接用 $_GET['page'] 或 $_GET['limit'] 是危险的，整数类型不校验会导致 SQL 注入或崩溃。PHP 的 filter_input() 是最轻量且可靠的方式，比手动 intval() 更严谨——它能拒绝非数字字符串（比如 page=1abc 会返回 null，不会转成 1）。
- 页码必须 ≥ 1，小于 1 统一设为 1；超出最大页数时，不报错而是返回空结果集（前端可显示“无数据”）
- 每页条数建议限制范围，例如 5–100，防止用户传
limit=999999拖垮数据库 - 避免用
$_GET直接拼 SQL，所有变量进查询前必须绑定或转义
搜索条件如何动态拼接 WHERE 子句
用户可能只搜姓名、只搜状态，或两者都填。硬写 WHERE name LIKE ? AND status = ? 会导致空值参与比较（如 name IS NULL 时查不到任何数据）。正确做法是构建条件数组，再用 array_filter() 剔除空值，最后用 implode(' AND ', $conditions) 拼接。
- 每个搜索字段单独做
LIKE，记得前后加%，但要先用trim()去空格，否则'% %'会匹配到异常数据 - 状态类字段（如
status）用严格相等，避免隐式转换（'0' == 0在 MySQL 中成立，但业务上可能不是本意） - 不要在 SQL 里写
OR name IS NULL来兜底，这会让索引失效；应由 PHP 控制是否加入该条件
排序字段和方向怎么防注入
ORDER BY 后不能直接插变量，否则 order=name; DROP TABLE users 这种攻击就成功了。PHP 没有类似 PDO 的 bindValue() 支持排序字段，只能白名单校验。
- 定义允许排序的字段数组，如
['id', 'name', 'created_at']，用in_array($sort, $allowed_sorts, true)判断 - 排序方向只接受
ASC或DESC，用strtoupper()统一后严格比对，别用strtolower($dir) === 'asc'这种松散判断 - 如果用户传了非法
sort，直接用默认字段（如id），不要报错或返回 500 —— 这属于客户端参数错误，不该中断流程
完整执行逻辑的关键顺序不能错
分页 + 搜索 + 排序三者叠加时，执行顺序错了就会查错数据：必须先算总条数（带搜索条件，不带排序和 limit），再查当前页数据（带搜索、排序、limit/offset）。很多人把 count 查询也加上 ORDER BY，纯属浪费——count 不需要排序。
- 用
SQL_CALC_FOUND_ROWS是过时方案，MySQL 8.0+ 已弃用，改用单独的SELECT COUNT(*)查询更清晰 - offset 计算公式是
($page - 1) * $limit，注意 $page 是从 1 开始，不是 0 - PDO 查询必须用
bindValue()绑定所有变量，尤其是搜索关键词要用PDO::PARAM_STR显式声明类型
实际写的时候，最容易被忽略的是搜索关键词的 % 符号加在 PHP 层还是 SQL 层——必须在 PHP 拼好再绑定，比如 $pdo->bindValue(':name', "%{$name}%", PDO::PARAM_STR)，而不是在 SQL 写成 LIKE CONCAT('%', :name, '%')，后者在某些 PDO 驱动下会出问题。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
