本文详解如何在已含 where 子句的 mysql 查询中正确追加搜索条件，避免语法错误，并通过预处理语句防止 sql 注入。
本文详解如何在已含 where 子句的 mysql 查询中正确追加搜索条件，避免语法错误，并通过预处理语句防止 sql 注入。
在使用 DataTables 等前端表格插件配合 PHP 后端时，一个常见需求是：先筛选出状态为“非激活”（如 active = 0）的数据，再根据用户输入的关键词对多个字段（如姓名、工号）进行模糊搜索。但若直接在已有 WHERE 的 SQL 字符串后再次拼接 WHERE，就会触发类似以下错误：
You have an error in your SQL syntax; ... near 'WHERE lastname like ...'
这是因为 SQL 语句中只能有一个 WHERE 关键字；后续条件必须用 AND 或 OR 连接，且逻辑优先级需通过括号明确。
✅ 正确做法：用 AND 扩展条件，并使用预处理语句
原始代码中 $sql 已初始化为：
$sql = "SELECT * FROM ndi3670 WHERE active = 0 ";
此时若用户提交了搜索词，应追加 AND (...) 而非另一个 WHERE。更重要的是，绝不可将用户输入直接拼入 SQL（如 "%' . $search_value . '%"），这会引发严重 SQL 注入漏洞。
以下是推荐的修复方案（兼容原生 MySQLi）：
$result = [];
$sql = "SELECT * FROM ndi3670 WHERE active = 0";
// 获取总记录数（不含搜索条件）
$totalQuery = mysqli_query($con, $sql);
$total_all_rows = mysqli_num_rows($totalQuery);
$columns = [
0 => 'empid',
1 => 'lastname',
2 => 'firstname',
3 => 'middlename',
];
if (isset($_POST['search']['value']) && trim($_POST['search']['value']) !== '') {
$search_value = '%' . trim($_POST['search']['value']) . '%';
// 使用 AND + 括号确保逻辑清晰：匹配任一字段即返回
$sql .= " AND (lastname LIKE ? OR firstname LIKE ? OR middlename LIKE ? OR empid LIKE ?)";
$stmt = mysqli_prepare($con, $sql);
if ($stmt === false) {
throw new Exception('SQL 准备失败: ' . mysqli_error($con));
}
// 绑定四个相同参数（ssss 表示四个字符串）
mysqli_stmt_bind_param($stmt, 'ssss', $search_value, $search_value, $search_value, $search_value);
mysqli_stmt_execute($stmt);
$results = mysqli_stmt_get_result($stmt);
// 后续可遍历 $results 构造 DataTables 所需 JSON 响应
} else {
// 无搜索时，直接查询全部 active=0 的记录
$results = mysqli_query($con, $sql);
}
⚠️ 关键注意事项
-
逻辑分组不可省略：
AND (A OR B OR C)保证搜索条件整体作为active = 0的补充，而非被AND错误截断。 -
参数化是硬性要求：即使搜索值看似“安全”，也必须使用
?占位符 +bind_param()，杜绝注入风险。 -
空值校验：建议对
$_POST['search']['value']做trim()和非空判断，避免生成LIKE '%%'这类低效全表扫描。 -
扩展性提示：如需支持更多搜索字段，只需同步扩展 SQL 中的
OR子句和bind_param()的参数列表即可。
通过以上重构，你既能安全、高效地实现多字段动态搜索，又能保持 SQL 语法严谨性与应用安全性，完美适配 DataTables 的服务端处理模式。
