PHP动态SQL查询构建：多条件筛选与安全实践

function get_animals($cat_id='', $animal_id='')
{
    global $con;

    // 初始查询，期望筛选 status=1 的动物
    $query = "SELECT * FROM animals WHERE status= 1";

    // 如果 $cat_id 不为空，则完全覆盖了之前的 $query
    if($cat_id!='')
    {
        $query = "SELECT * FROM animals WHERE category_name='$cat_id'";
    }

    // 如果 $animal_id 不为空，则再次完全覆盖了之前的 $query
    if ($animal_id!='')
    {
        $query = "SELECT * FROM animals WHERE id=$animal_id";
    }

    return $result = mysqli_query($con,$query);
}

<?php

// 假设 $con 是数据库连接变量，已在其他地方定义并初始化
// 例如：$con = mysqli_connect("localhost", "username", "password", "database");

function get_animals($cat_id='', $animal_id='')
{
    global $con; // 确保函数可以访问全局的数据库连接

    // 1. 定义基础查询：始终筛选 status = 1 的动物
    $query = "SELECT * FROM animals WHERE status = 1";
    $params = []; // 用于存储参数，为预处理语句做准备
    $types = ''; // 用于存储参数类型，为预处理语句做准备

    // 2. 根据 $cat_id 动态添加条件
    if (!empty($cat_id)) {
        // 使用 AND 连接新条件，而不是覆盖整个查询
        $query .= " AND category_name = ?";
        $params[] = $cat_id;
        $types .= 's'; // 's' for string
    }

    // 3. 根据 $animal_id 动态添加条件
    if (!empty($animal_id)) {
        // 使用 AND 连接新条件
        $query .= " AND id = ?";
        $params[] = $animal_id;
        $types .= 'i'; // 'i' for integer
    }

    // 4. 准备并执行预处理语句
    // 这是防止SQL注入的关键步骤
    $stmt = mysqli_prepare($con, $query);

    if ($stmt === false) {
        die("Prepare failed: " . mysqli_error($con));
    }

    // 绑定参数
    if (!empty($params)) {
        // mysqli_stmt_bind_param 需要参数的引用，使用 call_user_func_array
        array_unshift($params, $types); // 将类型字符串作为第一个参数
        call_user_func_array('mysqli_stmt_bind_param', array_merge([$stmt], ref_values($params)));
    }

    // 辅助函数，用于获取参数的引用
    function ref_values($arr){
        if (strnatcmp(phpversion(),'5.3') >= 0) //Reference is required for PHP 5.3+
        {
            $refs = array();
            foreach($arr as $key => $value)
                $refs[$key] = &$arr[$key];
            return $refs;
        }
        return $arr;
    }

    // 执行语句
    mysqli_stmt_execute($stmt);

    // 获取结果
    $result = mysqli_stmt_get_result($stmt);

    // 关闭语句
    mysqli_stmt_close($stmt);

    return $result;
}
?>

<?php
// 假设 $con 变量在此处已定义并初始化
// 例如：include 'db_connection.php';

$cat_id = '';
if(isset($_GET['id']))
{
    // 使用 mysqli_real_escape_string 在手动拼接SQL时是必要的，但使用预处理语句时则不需要，
    // 因为预处理语句会自动处理转义。为了兼容性，这里暂时保留，但最佳实践是完全依赖预处理。
    // 如果get_animals函数已经使用预处理，这里无需额外转义
    $cat_id = $_GET['id']; // 直接获取值，预处理会处理转义
}

$particular_animal = get_animals($cat_id);

?>

<!-- End Navigation -->

<!-- Product Grid -->
<div class="container mt-5 ">
    <div class="row">

        <?php
        if(mysqli_num_rows($particular_animal))
        {
            while($row = mysqli_fetch_assoc($particular_animal))
            {
                ?>
                <div class="col-md-4 product-grid">
                    <div class="row">
                        <div class="image border border-info bg-light">
                            <a href="animal_details.php? a_id=<?php echo htmlspecialchars($row['id']); ?>">
                                <img src="admin/image/<?php echo htmlspecialchars($row['img']);?>" class="w-100" alt="">
                            </a>
                            <h4 class="text-center mt-2 text-info font-weight-bold"><?php echo htmlspecialchars($row['name']); ?></h4>
                            <p class="text-center mt-2"><?php echo htmlspecialchars($row['gender']); ?></p>
                        </div>
                    </div>
                </div>
                <?php
            }
        }
        else
        {
            echo "没有找到相关记录。"; // 更友好的提示
        }
        ?>
    </div>
</div>