PDO PHP bindValue不起作用

Question

我知道这已被问过1000次了,但由于某种原因,我继续在墙上再次敲打我的脑袋.

这有效:

$sql = 'SELECT a.eventCode, a.eventTime, a.teamCode, a.playerCode, b.lastName, b.firstName, b.number, a.xCoord, a.yCoord, a.id ';
$sql = $sql . 'FROM events a, players b ';
$sql = $sql . 'WHERE a.regGUID in ( ' . $regGUID . ' ) and ';
$sql = $sql . 'a.playerCode=b.playerCode and a.gameCode = "' . $game . '" order by a.eventTime desc, a.actionCode asc'; 
$stmt = $db->prepare($sql);
$results = $stmt->execute();

这不是:

$sql = 'SELECT a.eventCode, a.eventTime, a.teamCode, a.playerCode, b.lastName, b.firstName, b.number, a.xCoord, a.yCoord, a.id ';
$sql = $sql . 'FROM events a, players b ';
$sql = $sql . 'WHERE a.regGUID in ( :regGUID ) and ';
$sql = $sql . 'a.playerCode=b.playerCode and a.gameCode = :game order by a.eventTime desc, a.actionCode asc'; 
$stmt = $db->prepare($sql);
$stmt->bindValue(':regGUID', $regGUID, PDO::PARAM_STR);
$stmt->bindValue(':game', $game, PDO::PARAM_STR);
$results = $stmt->execute();

我错过了什么？谢谢

Answer 1

问题出在这里:

$sql = $sql . 'WHERE a.regGUID in ( :regGUID ) and ';
$stmt->bindValue(':regGUID', $regGUID, PDO::PARAM_STR);

我假设$ regGUID是逗号分隔的引用字符串列表.

每个查询参数仅接受单个标量值.不是值列表.

所以你有两个选择:

1. 即使您使用其他标量值的参数,也要继续插入$ regGUID字符串.但是你仍然要小心避免SQL注入,所以你必须正确地形成$ regGUID字符串.你不能只在整个字符串上调用PDO :: quote(),这将使它成为包含UUID和逗号的单引号字符串.您必须确保每个UUID字符串都被单独转义和引用,然后将列表一起内插并插入到IN子句中.

   $regGUIDs = explode(',', $regGUID);
   $regGUIDs = array_map(function ($g) { return $db->quote($g); }, $regGUIDs);
   $regGUID = implode(',', $regGUIDs);
   $sql = $sql . 'WHERE a.regGUID in (' . $regGUID . ') and ';
   

2. explode()将$ regGUID放入一个数组中,并为数组中的每个元素添加一个查询参数.插值查询参数占位符的动态列表.

   $regGUIDs = explode(',', $regGUID);
   $params = array_fill(1, count($regGUIDs), '?');
   $sql = $sql . ' WHERE a.regGUID in ( ' . implode(',', $params) . ' ) and ';
   

您可以在数组的循环中绑定VALal(),但请记住,其他参数也应该按位置绑定,而不是按名称绑定.当您尝试在同一查询中混合使用两种不同类型的参数时,PDO会出现错误,使其不满意.

我只是将一个参数值数组传递给PDOStatement :: execute(),而不是使用bindValue(),这更容易.

$paramValues = $regGUIDs;
$paramValues[] = $game;
$results = $stmt->execute($paramValues);