本文旨在解决php/sql数据库多字段模糊搜索中，关键词包含空格时无法正确匹配的问题。通过介绍如何在php中使用explode函数拆分搜索词，并在sql查询中构建or like条件来实现多词匹配。同时，重点强调并演示如何利用预处理语句（prepared statements）有效防范sql注入漏洞，提升应用安全性与健壮性。
在开发基于PHP和MySQL的Web应用时，实现数据库表格数据的模糊搜索功能是常见需求。然而，当用户输入的搜索关键词包含空格，并且我们希望这些空格能起到分隔不同搜索词的作用时，传统的CONCAT_WS结合单个LIKE模式的查询方式往往无法达到预期效果。此外，直接将用户输入拼接到SQL查询字符串中会带来严重的安全风险——SQL注入。本教程将深入探讨这些问题，并提供一个安全且有效的解决方案。
理解现有问题
原始代码中，搜索逻辑通常会将多个字段连接成一个字符串，然后使用LIKE '%".$valueToSearch."%'进行匹配。例如：
// 存在问题的SQL查询示例 $query = "SELECT * FROM `master` WHERE CONCAT_WS(`id`, `office`, `firstName`, `lastName`, ...) LIKE '%".$valueToSearch."%'";
这里存在两个主要问题：
- 空格处理问题： 当$valueToSearch为“test 2”时，SQL查询会尝试查找一个字段或字段组合中包含“test 2”这个完整字符串的记录。这意味着如果“test”在一个字段，“2”在另一个字段，或者它们之间没有空格，这种匹配将失败。它无法将“test”和“2”视为独立的搜索词。
- SQL注入漏洞： 最严重的问题是$valueToSearch变量直接被拼接到SQL查询字符串中。恶意用户可以输入特殊的SQL代码，从而改变查询的意图，甚至获取、修改或删除数据库中的敏感数据。例如，如果$valueToSearch被设置为' OR 1=1 --，查询将变为... LIKE '%' OR 1=1 --%'，这会导致所有记录都被返回，因为1=1永远为真，--会将后续内容注释掉。
解决方案一：基于PHP与SQL的关键词拆分与安全防护
为了解决空格处理和SQL注入问题，我们可以采取以下策略：
立即学习“PHP免费学习笔记（深入）”；
- 在PHP中将用户输入的搜索字符串按空格拆分成多个独立的关键词。
- 为每个关键词在SQL查询中构建独立的LIKE条件，并与需要搜索的字段结合。
- 使用预处理语句（Prepared Statements）来安全地绑定这些关键词，彻底杜绝SQL注入。
1. 关键词拆分与SQL查询构建
首先，我们需要修改PHP代码，使用explode()函数将$valueToSearch拆分成数组。然后，遍历这个数组，为每个关键词生成一个LIKE子句，并用OR连接起来。同时，我们将使用mysqli扩展的预处理语句来确保安全性。
<?php
// 数据库连接函数，请替换为您的实际连接信息
function connectDB() {
// 强烈建议将数据库凭据存储在安全的地方，例如环境变量或配置文件，而不是硬编码
$connect = mysqli_connect("localhost", "your_username", "your_password", "your_database");
if (!$connect) {
die("数据库连接失败: " . mysqli_connect_error());
}
return $connect;
}
/**
* 过滤和执行数据库查询的函数，支持预处理语句
* @param string $query SQL查询字符串
* @param array $params 绑定参数数组 (用于预处理语句)
* @param string $param_types 参数类型字符串 (例如 'ssi' 代表两个字符串一个整数)
* @return mysqli_result|false 查询结果集或失败
*/
function filterTable($query, $params = [], $param_types = '') {
$connect = connectDB();
if (!empty($params)) {
// 使用预处理语句
$stmt = mysqli_prepare($connect, $query);
if (!$stmt) {
die("SQL预处理失败: " . mysqli_error($connect));
}
// 动态绑定参数：mysqli_stmt_bind_param 需要引用传递
$bind_args = [$param_types]; // 第一个参数是类型字符串
foreach ($params as $key => $value) {
$bind_args[] = &$params[$key]; // 将每个参数的引用添加到绑定数组
}
call_user_func_array([$stmt, 'bind_param'], $bind_args);
mysqli_execute($stmt);
$result = mysqli_get_result($stmt); // 获取结果集
mysqli_stmt_close($stmt);
} else {
// 如果没有参数，执行普通查询 (例如初始加载所有数据)
$result = mysqli_query($connect, $query);
}
mysqli_close($connect);
return $result;
}
$search_result = null; // 初始化结果变量
if(isset($_POST['search'])) {
$valueToSearch = trim($_POST['valueToSearch']); // 清理输入字符串首尾空格
$keywords = explode(' ', $valueToSearch); // 按空格拆分关键词
$keywords = array_filter($keywords); // 移除空关键词，防止生成空LIKE条件
$query_parts = [];
$params = [];
$param_types = '';
// 定义需要搜索的字段列表
$searchable_columns = ['id', 'office', 'firstName', 'lastName', 'type', 'status', 'deadline', 'contactPref', 'email', 'phoneNumber', 'taxPro'];
if (!empty($keywords)) {
foreach ($keywords as $keyword) {
$keyword_pattern = '%' . $keyword . '%'; // 为每个关键词添加通配符
$column_conditions = [];
foreach ($searchable_columns as $column) {
$column_conditions[] = "`{$column}` LIKE ?"; // 使用占位符
$params[] = $keyword_pattern; // 将带通配符的关键词模式加入参数数组
$param_types .= 's'; // 假设所有搜索参数都按字符串处理
}
// 将所有字段针对当前关键词的OR条件组合成一个AND部分
$query_parts[] = '(' . implode(' OR ', $column_conditions) . ')';
}
// 将所有关键词的AND部分组合成最终的WHERE子句
$query = "SELECT * FROM `master` WHERE " . implode(' AND ', $query_parts);
$search_result = filterTable($query, $params, $param_types);
} else {
// 如果没有有效的搜索关键词，则显示所有数据
$query = "SELECT * FROM `master`";
$search_result = filterTable($query);
}
} else {
// 页面初次加载时显示所有数据
$query = "SELECT * FROM `master`";
$search_result = filterTable($query);
}
?>
<html>
<head>
<title>PHP HTML TABLE DATA SEARCH</title>
<style>
table,tr,th,td
{
border: 1px solid black;
border-collapse: collapse; /* 优化表格边框显示 */
padding: 8px; /* 增加单元格内边距 */
}
th {
background-color: #f2f2f2; /* 表头背景色 */
text-align: left;
}
body { 
