在使用php进行sql查询时，如果查询语句中包含中文，就会遇到一些问题。这篇文章将介绍这些问题以及如何解决它们。
问题1：SQL查询语句中包含中文，无法正常执行或查询结果不正确
这个问题通常是因为编码问题导致的。当使用中文字符串作为查询条件时，需要确保查询语句和数据库编码一致，否则会出现乱码或查询结果不正确。
解决方法：
- 在查询语句中使用Unicode字符，例如“SELECT FROM table WHERE name = ‘张三’”可以写成“SELECT FROM table WHERE name = N‘\u5f20\u4e09’”，其中“\u5f20\u4e09”是“张三”的Unicode编码，使用“N”前缀告诉MySQL使用Unicode编码解析字符串。
- 在PHP中设置编码为UTF-8，这样可以确保查询语句中的中文字符被正确编码为UTF-8。例如：
$db = new PDO('mysql:host=localhost;dbname=test', 'username', 'password');
$db->exec('SET NAMES utf8');
$name = '张三';
$stmt = $db->prepare('SELECT * FROM table WHERE name = ?');
$stmt->execute(array($name));
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);在上面的示例中，“SET NAMES utf8”通知数据库使用UTF-8编码解析输入和输出。然后使用PDO预处理语句，保证查询参数被正确编码。
立即学习“PHP免费学习笔记（深入）”；
问题2：SQL注入攻击
因为SQL查询语句中包含用户输入的数据，所以可能面临SQL注入攻击。当用户输入恶意字符串时，攻击者可以在查询中注入任意SQL代码，例如删除表、插入恶意数据等操作。
解决方法：
- 使用PDO预处理语句，将用户输入的数据作为查询参数而不是将其拼接到查询语句中。例如：
$name = $_POST['name'];
$stmt = $db->prepare('SELECT * FROM table WHERE name = ?');
$stmt->execute(array($name));
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);在这个示例中，从$_POST数组中获取用户输入的“name”，然后将其作为参数传递给PDO预处理语句中的“？”占位符。
- 使用过滤器过滤用户输入的数据。例如，可以使用PHP中的filter_var()函数过滤输入的数据，确保其符合预期格式。
$name = filter_var($_POST['name'], FILTER_SANITIZE_STRING);
$stmt = $db->prepare('SELECT * FROM table WHERE name = ?');
$stmt->execute(array($name));
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);在上面的示例中，使用FILTER_SANITIZE_STRING过滤器确保$name只包含字符串字符，并删除所有HTML标记和不必要的字符。
使用这些方法可以解决在PHP查询中SQL查询语句中包含中文的问题。保证查询语句和用户输入数据的编码一致，并使用PDO预处理语句或过滤器确保用户输入的数据安全。
