Поиск с несколькими переменными PHP/Mysql

Question

Я пытаюсь создать поиск, где столбец и значение являются обе переменными, используя подготовленные операторы. Запрос - это то, где мне нужна помощь.

$column=$_POST['filter'][0][columnName]; 
$value = trim($_POST['filter'][0][value]); 

$stmt = $mysql->prepare("select * from TABLE WHERE $column like '%$value%'"); 

Я хочу, чтобы иметь возможность задавать разные колонки и пары значений для использования в сочетании с eachother- так, что я могу найти колонку один для одного значения, а также колонки два для другого значения.

спасибо!

Answer 1

Я не думаю, что библиотека PHP mysql подготовила заявления. Является ли ваша переменная $ mysql фактически объектом соединения mysqli или pdo?

С MySQLi, ваш код будет выглядеть следующим образом:

$dbconnection = new mysqli('localhost', 'my_user', 'my_password', 'my_db'); 
$stmt = $dbconnection->prepare("select * from TABLE WHERE $column like '%?%'"); 
$stmt->bind_param('s',$value); 

Там нет никакого способа, чтобы связать параметр для имени столбца, который означает, что вы застряли вставку $column непосредственно в запрос. Выполнение этого с любым значением, которое пользователь передал вам в POST, - это немного дыры в безопасности. Поскольку он ограничен одинаковым именем одного из ваших имен столбцов, я бы предложил сначала его проверить, чтобы убедиться, что он не настроен на что-то другое.