如何在 PHP 中安全地使用 MySQL 查询两个日期之间的数据-php教程-PHP中文网

如何在 PHP 中安全地使用 MySQL 查询两个日期之间的数据

本文介绍如何通过 PDO 预处理语句安全、准确地查询 MySQL 中指定日期范围内的记录，避免 SQL 注入风险，并纠正 LIKE 模糊匹配日期的常见错误。

本文介绍如何通过 pdo 预处理语句安全、准确地查询 mysql 中指定日期范围内的记录，避免 sql 注入风险，并纠正 `like` 模糊匹配日期的常见错误。

在 Web 开发中，按日期范围筛选数据是高频需求，但初学者常误用 LIKE 进行日期匹配（如 date LIKE "%2023-01-01%"），这不仅逻辑错误（LIKE 无法正确表达“区间”含义），更存在严重 SQL 注入漏洞——用户可轻易通过恶意输入（如 ' OR '1'='1）篡改查询逻辑。

✅ 正确做法是：使用 BETWEEN 操作符 + PDO 预处理语句，确保类型安全与参数隔离。

以下为完整、可直接运行的安全示例：

MySQL8 CRM Schema Design Expert

面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。

下载

<?php try {
    // 1. 建立 PDO 连接（请替换为您的实际配置）
    $dsn = 'mysql:host=localhost;dbname=your_database;charset=utf8mb4';
    $pdo = new PDO($dsn, 'username', 'password', [
        PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
        PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC
    ]);

    // 2. 构建基础查询（注意：WHERE 1=1 便于动态拼接条件）
    $sql = "SELECT * FROM orders WHERE 1=1";

    // 3. 动态添加日期范围条件（仅当参数存在且非空时）
    $params = [];
    if (!empty($_REQUEST['datefrom'])) {
        $sql .= " AND date >= :datefrom";
        $params['datefrom'] = $_REQUEST['datefrom']; // 推荐使用标准格式：Y-m-d 或 Y-m-d H:i:s
    }
    if (!empty($_REQUEST['dateto'])) {
        $sql .= " AND date prepare($sql);
    $stmt->execute($params);

    // 5. 获取结果
    $results = $stmt->fetchAll();
    print_r($results);

} catch (PDOException $e) {
    error_log("Database error: " . $e->getMessage());
    echo "查询失败，请稍后重试。";
}
?>

? 关键注意事项：

✅ 日期格式必须一致：MySQL 的 DATE/DATETIME 字段要求输入为 'Y-m-d'（如 '2023-01-01'）或 'Y-m-d H:i:s'。前端建议用保证格式合规。
✅ 避免 BETWEEN 的隐含陷阱：BETWEEN '2023-01-01' AND '2023-01-31' 在 DATETIME 字段中仅匹配到 2023-01-31 00:00:00，若需包含全天，推荐使用 date
❌ 禁止字符串拼接 SQL（如 "AND date LIKE '%".$_REQUEST['date']."%'"），这是 SQL 注入高危行为。
? 始终启用 PDO::ERRMODE_EXCEPTION 并捕获异常，便于调试与安全兜底。

通过以上方式，您不仅能精准筛选日期区间，更能构建健壮、可维护、符合现代安全规范的 PHP 数据访问层。