如何在PHP中安全地将MySQL查询条件设为变量-php教程-PHP中文网

如何在PHP中安全地将MySQL查询条件设为变量

本文讲解如何在php中正确获取并使用post变量作为mysql查询条件，重点解决变量未生效问题，并强调sql注入防护措施。

本文讲解如何在php中正确获取并使用post变量作为mysql查询条件，重点解决变量未生效问题，并强调sql注入防护措施。

在PHP与MySQL交互开发中，动态设置查询条件（如根据用户输入筛选数据）是常见需求。你当前的代码中试图通过 $_POST['name'] 获取变量但未成功，根本原因在于：未在脚本开头显式声明并赋值该变量，且直接拼接SQL字符串存在严重安全隐患。

首先，需确保表单以 POST 方法提交，并在PHP脚本顶部安全获取参数：

<?php // 1. 安全获取POST变量（带空值和类型校验）
$name = isset($_POST['name']) && is_string($_POST['name']) 
    ? trim($_POST['name']) 
    : 'test'; // 默认值兜底，避免SQL错误
?>

接着，绝对不可直接拼接 $name 到SQL中（如 "WHERE name='$name'"），这会引发SQL注入攻击。应改用预处理语句（Prepared Statements）——这是PHP官方推荐的安全实践：

<?php $servername = "localhost";
$username = "..";
$password = "..";
$dbname = "..";

$conn = new mysqli($servername, $username, $password, $dbname);
if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
}

$response = [];
$posts = [];

// 2. 使用预处理语句防止SQL注入
$stmt = $conn->prepare("SELECT name, addres, status, date FROM silknet WHERE name = ?");
$stmt->bind_param("s", $name); // "s" 表示字符串类型
$stmt->execute();
$result = $stmt->get_result();

// 3. 安全遍历结果集
while ($row = $result->fetch_assoc()) {
    $response[] = [
        'name'   => $row['name'],
        'addres' => $row['addres'],
        'status' => $row['status'],
        'date'   => $row['date']
    ];
}

$stmt->close();
$conn->close();

header('Content-Type: application/json; charset=utf-8');
echo json_encode($response);
?>

✅ 关键注意事项：