构建动态SQL查询的技巧与安全实践

function get_animals($cat_id='', $animal_id='')
{
    global $con;
    $query = "SELECT * FROM animals WHERE status= 1"; // 初始查询

    if($cat_id!='') {
        $query = "SELECT * FROM FROM animals WHERE category_name='$cat_id'"; // 问题：覆盖了status=1条件
    }

    if ($animal_id!='') {
        $query = "SELECT * FROM animals WHERE id=$animal_id"; // 问题：再次覆盖了之前的条件
    }

    return mysqli_query($con,$query);
}

function get_animals($cat_id='', $animal_id='')
{
    global $con;

    // 初始查询，包含所有查询都应满足的基本条件
    $query = "SELECT * FROM animals WHERE status = 1";

    // 根据条件追加WHERE子句
    if (!empty($cat_id)) {
        // 使用 .= 操作符追加条件，并用 AND 连接
        $query .= " AND category_name = '$cat_id'";
    }

    if (!empty($animal_id)) {
        // 再次追加条件
        $query .= " AND id = $animal_id";
    }

    return mysqli_query($con, $query);
}

function get_animals($cat_id = null, $animal_id = null)
{
    global $con;

    // 初始查询和条件数组
    $sql = "SELECT * FROM animals WHERE status = 1";
    $params = [];
    $types = ""; // 存储参数类型字符串，如 "is" (integer, string)

    if ($cat_id !== null && $cat_id !== '') {
        $sql .= " AND category_name = ?";
        $params[] = $cat_id;
        $types .= "s"; // 's' for string
    }

    if ($animal_id !== null && $animal_id !== '') {
        $sql .= " AND id = ?";
        $params[] = $animal_id;
        $types .= "i"; // 'i' for integer
    }

    // 准备语句
    if ($stmt = mysqli_prepare($con, $sql)) {
        // 如果有参数，绑定参数
        if (!empty($params)) {
            // 使用 call_user_func_array 动态绑定参数
            // 第一个参数是 $stmt，后面是 $types 和 $params 数组的引用
            mysqli_stmt_bind_param($stmt, $types, ...$params);
        }

        // 执行语句
        mysqli_stmt_execute($stmt);

        // 获取结果
        $result = mysqli_stmt_get_result($stmt);

        // 关闭语句
        mysqli_stmt_close($stmt);

        return $result;
    } else {
        // 错误处理
        error_log("Error preparing statement: " . mysqli_error($con));
        return false;
    }
}

<?php 
    // 假设 $con 已经在其他地方定义并连接
    // include 'db_connection.php'; // 确保数据库连接可用

    $cat_id = null; // 初始化为null或空字符串
    if(isset($_GET['id'])) {
        // 对于GET参数，不需要在这里使用mysqli_real_escape_string，因为get_animals会使用预处理语句
        $cat_id = $_GET['id']; 
    }

    // 调用更新后的函数
    $particular_animal = get_animals($cat_id);

?>

<!-- HTML 部分保持不变 -->
<div class="container mt-5 ">
    <div class="row">
        <?php
            if($particular_animal && mysqli_num_rows($particular_animal)) {
                while($row = mysqli_fetch_assoc($particular_animal)) {
                    ?>
                    <div class="col-md-4 product-grid">
                        <div class="row">
                            <div class="image border border-info bg-light">
                                <a href="animal_details.php?a_id=<?php echo $row['id'] ?>">
                                    <img src="admin/image/<?php echo $row['img']?>" class="w-100" alt="">
                                </a>
                                <h4 class="text-center mt-2 text-info font-weight-bold"><?php echo $row['name'] ?></h4>
                                <p class="text-center mt-2"><?php echo $row['gender'] ?></p>
                            </div>
                        </div>
                    </div>
                    <?php
                }
            } else {
                echo "未找到相关记录或查询失败。"; // 改进错误提示
            }
        ?>
    </div>
</div>