本文详解如何在基于 codeigniter 4 环境下使用的自定义 db 类中，安全、规范地传入 where 条件（如 name = 'joe'），涵盖参数格式、sql 注入防范要点及实际代码示例。
本文详解如何在基于 codeigniter 4 环境下使用的自定义 db 类中，安全、规范地传入 where 条件（如 name = 'joe'），涵盖参数格式、sql 注入防范要点及实际代码示例。
在您提供的 getRows() 方法中，$conditions 参数已支持 where 键，但当前实现存在两个关键问题：一是调用时语法错误（如误写为 "name => 'Joe'" 字符串），二是 SQL 拼接未做转义，存在严重 SQL 注入风险。下面将分步说明正确用法与优化建议。
✅ 正确传入 WHERE 条件的格式
where 应传入一个关联数组，键为字段名，值为待匹配值（不带引号、不拼接 SQL）：
$users = $db->getRows('users', [
'where' => ['name' => 'Joe'], // ✅ 正确：自动处理字段与值映射
'order_by' => 'id DESC'
]);此时，getRows() 内部会生成安全的 SQL 片段：WHERE name = 'Joe'（注意：实际应使用预处理，见下文强化建议）。
⚠️ 常见错误写法（务必避免）：
// ❌ 错误1：字符串形式，导致 key 变成 "name => 'Joe'"，无法解析 'where' => ["name => 'Joe'"] // ❌ 错误2：手动拼接 SQL，绕过条件解析逻辑 'where' => "name = 'Joe'" // 不被当前方法识别
? 安全增强：防止 SQL 注入（强烈建议）
当前 getRows() 中直接拼接 $value 到 SQL 字符串中（" = '".$value."'），若 $value 来自用户输入（如表单），将导致严重 SQL 注入漏洞。推荐升级为 PDO 预处理方式：
// 修改 dbclass.php 中 getRows() 的 where 处理段（示例）：
if(array_key_exists("where", $conditions)){
$sql .= ' WHERE ';
$i = 0;
$params = []; // 存储绑定参数
foreach($conditions['where'] as $key => $value){
$pre = ($i > 0) ? ' AND ' : '';
$sql .= $pre . $key . ' = ?';
$params[] = $value; // 收集参数
$i++;
}
// 后续执行时使用：$this->db->prepare($sql)->execute($params);
}? CodeIgniter 4 原生推荐方案：若您实际项目已集成 CI4，应优先使用其 Query Builder，完全规避手写 SQL 风险：
$users = $this->db->table('users') ->where('name', 'Joe') ->orderBy('id', 'DESC') ->get() ->getResult();
? 使用注意事项总结
- where 键必须是关联数组，格式为 ['字段名' => 值]，支持多个条件（如 ['name' => 'Joe', 'status' => 1]）；
- 值支持字符串、数字、NULL，但不要手动加引号或 SQL 符号（如 'Joe' 或 '%joe%'）；
- 如需模糊查询、范围查询等复杂条件，请扩展 getRows() 方法，或直接切换至 CI4 Query Builder；
- 生产环境严禁使用未经转义的字符串拼接 SQL —— 即使当前示例能运行，也必须升级为预处理或 ORM 方式。
通过以上调整，您即可在保持现有代码结构的同时，安全、灵活地添加 WHERE 条件，兼顾可维护性与安全性。
