如何在 PHP 中动态构建 SQL 查询条件-php教程-PHP中文网

如何在 PHP 中动态构建 SQL 查询条件

本文介绍如何根据用户提交的表单数据（如性别、婚姻状况等）动态拼接 where 条件，安全、灵活地构建 sql 查询，避免硬编码和 sql 注入风险。

本文介绍如何根据用户提交的表单数据（如性别、婚姻状况等）动态拼接 where 条件，安全、灵活地构建 sql 查询，避免硬编码和 sql 注入风险。

在实际 Web 开发中，搜索或筛选功能常需支持「可选字段」——用户可能只填了 sex，也可能同时填了 sex 和 civil_status，甚至更多字段（如 age_range、department）。若为每种组合都写一条固定 SQL，将导致代码冗余、难以维护，且极易引入 SQL 注入漏洞。

✅ 正确做法是：初始化基础查询语句，按需追加 WHERE 子句与条件参数，并始终使用参数化查询（预处理）。

以下是一个安全、可扩展的实现方案（以原生 PDO 或类 CodeIgniter/Laravel DB 封装为例）：

// 假设 $data 来自 $_POST 或请求体，已做过基础过滤（如 trim、isset 检查）
$query = "SELECT * FROM tbl_emp_information";
$conditions = [];
$params = [];

// 动态添加条件（仅当值存在且非空时）
if (!empty($data['sex'])) {
    $conditions[] = "sex = ?";
    $params[] = $data['sex'];
}

if (!empty($data['civil_status'])) {
    $conditions[] = "civil_status = ?";
    $params[] = $data['civil_status'];
}

if (!empty($data['department'])) {
    $conditions[] = "department = ?";
    $params[] = $data['department'];
}

// 拼接 WHERE 子句
if (!empty($conditions)) {
    $query .= " WHERE " . implode(' AND ', $conditions);
}

// 使用参数化执行（示例基于 PDO 风格；若用 CodeIgniter，可用 $this->db->query($query, $params)）
$stmt = $this->db->prepare($query);
$stmt->execute($params);
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);

echo json_encode($result);

? 关键要点说明：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

✅ 绝不直接拼接用户输入到 SQL 字符串中（如原问题中 $sex = $data['sex']; ... WHERE sex = $sex 是严重漏洞）；
✅ 使用 ? 占位符 + 参数数组，由数据库驱动自动转义，彻底防止 SQL 注入；
✅ 通过 !empty() 判断字段有效性，支持任意组合的条件组合；
✅ 条件逻辑清晰分离，易于新增字段（如加 if (!empty($data['salary_min'])) { ... } 即可）；

✅ 若使用 Laravel，推荐直接采用 Eloquent 的链式查询：

$query = Employee::query();
if ($request->sex) $query->where('sex', $request->sex);
if ($request->civil_status) $query->where('civil_status', $request->civil_status);
return response()->json($query->get());

⚠️ 注意事项：