如何使用 LIKE 语句创建 PDO 参数化查询？

我发帖后马上就想通了：

$query = $database->prepare('SELECT * FROM table WHERE column LIKE ?');
$query->execute(array('value%'));

while ($results = $query->fetch())
{
    echo $results['column'];
}

对于使用命名参数的用户，以下是对 MySQL 数据库进行部分匹配的方法：LIKE%

WHERE column_name LIKE CONCAT('%', :dangerousstring, '%')

其中命名参数为 。:dangerousstring

换言之，在你自己的查询中使用显式未转义的符号，这些符号是分开的，绝对不是用户输入。%

编辑：Oracle 数据库的串联语法使用串联运算符：，因此它只会变为：||

WHERE column_name LIKE '%' || :dangerousstring || '%'

但是，正如@bobince在这里提到的，有一些警告：

当您想在 搜索字符串，而不让它充当通配符。%_

因此，在组合喜欢和参数化时，这是需要注意的另一件事。

$query = $database->prepare('SELECT * FROM table WHERE column LIKE ?');
$query->bindValue(1, "%$value%", PDO::PARAM_STR);
$query->execute();

if (!$query->rowCount() == 0) 
{
    while ($results = $query->fetch()) 
    {
        echo $results['column'] . "<br />\n";
    }       
} 
else 
{
    echo 'Nothing found';
}

你也可以试试这个。我面临类似的问题，但经过研究得到了结果。

$query = $pdo_connection->prepare('SELECT * FROM table WHERE column LIKE :search');

$stmt= $pdo_connection->prepare($query);

$stmt->execute(array(':search' => '%'.$search_term.'%'));

$result = $stmt->fetchAll(PDO::FETCH_ASSOC);

print_r($result);

PDO 转义“%”（可能导致 sql 注入）：在查找匹配部分字符串时，使用前面的代码将给出所需的结果，但如果访问者键入字符“%”，即使您没有在数据库中存储任何内容，您仍然会得到结果（这可能会导致 sql 注入）

我尝试了很多变化，所有变化都具有相同的结果：PDO 正在转义“%”导致不需要/不兴奋的搜索结果。

我虽然值得分享，但如果有人在它周围找到了一个词，请分享它

这工作原理：

search `table` where `column` like concat('%', :column, '%')

我从php妄想中得到这个

$search = "%$search%";
$stmt  = $pdo->prepare("SELECT * FROM table WHERE name LIKE ?");
$stmt->execute([$search]);
$data = $stmt->fetchAll();

它对我有用，非常简单。就像他说的，在将它发送到查询之前，你必须“首先准备我们完整的文字”

我有类似的需求，但使用的是从表单中获取的变量。我这样做是为了使用 PHP 从我的 PostgreSQL 数据库中获取结果：

<?php
     $player = $_POST['search'];  //variable from my search form
     $find = $sqlPDO->prepare("SELECT player FROM salaries WHERE player ILIKE ?;");
     $find->execute(['%'.$player.'%']);

     while ($row = $find->fetch()) {
         echo $row['player']."</br>";
     }
?>

“ILIKE”使搜索不区分大小写，因此搜索 cart 或 Cart 或 cARt 都将返回相同的结果。

我能做到这一点的唯一方法是将 %$search% 放入另一个变量中。

    if(isset($_POST['submit-search'])){
         $search = $_POST['search'];
   }
    
        $query = 'SELECT * FROM posts WHERE post_title LIKE :search';
        $value ="%$search%";
        $stmt= $pdo->prepare($query);
        
        $stmt->execute(array(':search' => $value));

我不知道这是否是最好的方法，在我使用的 while 循环中：

while ($r = $stmt->fetch(PDO::FETCH_ASSOC)){