如何安全地构建动态MySQL查询以防SQL注入

// 假设 $_GET['sub_cat'], $_GET['ad_brand'], etc. 包含用户输入
$conditions = [];

if (isset($_GET['sub_cat']) && $_GET['sub_cat'] !== '') {
    // 直接拼接用户输入
    $conditions[] = 'ad_sub_cat=' . $_GET['sub_cat'] . '';
}

if (isset($_GET['ad_brand']) && $_GET['ad_brand'] !== '') {
    // 直接拼接用户输入，虽然使用了CONCAT，但外部仍是拼接
    $conditions[] = "`ad_brand` LIKE CONCAT('%','" . $_GET['ad_brand'] . "','%') ";
}

if (isset($_GET['min_range']) && $_GET['min_range'] !== '') {
    $conditions[] = 'ad_price >=' . $_GET['min_range'] . '';
}

if (isset($_GET['max_range']) && $_GET['max_range'] !== '') {
    $conditions[] = 'ad_price <=' . $_GET['max_range'] . '';
}

if (isset($_GET['for_r_s']) && $_GET['for_r_s'] !== '') {
    $conditions[] = 'for_r_s =' . $_GET['for_r_s'] . '';
}

// 最终查询语句，所有条件直接拼接
$query = "SELECT posts.ID, posts.ad_title, posts.ad_price, posts.ad_location, posts.ad_sub_cat FROM `posts` WHERE " . implode(' AND ', $conditions);

// 执行 $query...

$sql_conditions = []; // 存储SQL条件片段，包含占位符
$parameters = [];      // 存储要绑定的参数

if (isset($_GET['sub_cat']) && $_GET['sub_cat'] !== '') {
    $sql_conditions[] = 'ad_sub_cat = :sub_cat'; // 使用命名占位符
    $parameters[':sub_cat'] = $_GET['sub_cat']; // 绑定参数
}

if (isset($_GET['ad_brand']) && $_GET['ad_brand'] !== '') {
    $sql_conditions[] = "`ad_brand` LIKE :ad_brand_pattern"; // 使用命名占位符
    // 注意：LIKE模式中的百分号要作为参数值的一部分，而不是SQL结构的一部分
    $parameters[':ad_brand_pattern'] = '%' . $_GET['ad_brand'] . '%'; 
}

if (isset($_GET['min_range']) && $_GET['min_range'] !== '') {
    $sql_conditions[] = 'ad_price >= :min_range';
    $parameters[':min_range'] = $_GET['min_range'];
}

if (isset($_GET['max_range']) && $_GET['max_range'] !== '') {
    $sql_conditions[] = 'ad_price <= :max_range';
    $parameters[':max_range'] = $_GET['max_range'];
}

if (isset($_GET['for_r_s']) && $_GET['for_r_s'] !== '') {
    $sql_conditions[] = 'for_r_s = :for_r_s';
    $parameters[':for_r_s'] = $_GET['for_r_s'];
}

// 构建基础查询
$base_query = "SELECT posts.ID, posts.ad_title, posts.ad_price, posts.ad_location, posts.ad_sub_cat FROM `posts`";

// 如果有条件，则添加WHERE子句
if (!empty($sql_conditions)) {
    $query = $base_query . " WHERE " . implode(' AND ', $sql_conditions);
} else {
    $query = $base_query; // 没有条件时，查询所有
}

// 示例：使用PDO执行查询
try {
    $pdo = new PDO("mysql:host=localhost;dbname=your_db", "user", "password");
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    $stmt = $pdo->prepare($query); // 预处理语句，此时不含用户数据
    $stmt->execute($parameters);   // 绑定并执行参数

    $results = $stmt->fetchAll(PDO::FETCH_ASSOC);
    // 处理查询结果
    print_r($results);

} catch (PDOException $e) {
    die("数据库查询失败: " . $e->getMessage());
}

$sql_conditions = [];
$parameters = [];

if (isset($_GET['sub_cat']) && $_GET['sub_cat'] !== '') {
    $sql_conditions[] = 'ad_sub_cat = ?'; // 使用位置占位符
    $parameters[] = $_GET['sub_cat'];     // 按顺序添加参数
}

if (isset($_GET['ad_brand']) && $_GET['ad_brand'] !== '') {
    $sql_conditions[] = "`ad_brand` LIKE ?";
    $parameters[] = '%' . $_GET['ad_brand'] . '%';
}

// ... 其他条件类似 ...

$base_query = "SELECT posts.ID, posts.ad_title, posts.ad_price, posts.ad_location, posts.ad_sub_cat FROM `posts`";
if (!empty($sql_conditions)) {
    $query = $base_query . " WHERE " . implode(' AND ', $sql_conditions);
} else {
    $query = $base_query;
}

try {
    $pdo = new PDO("mysql:host=localhost;dbname=your_db", "user", "password");
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    $stmt = $pdo->prepare($query);
    $stmt->execute($parameters); // 此时 $parameters 是一个索引数组

    $results = $stmt->fetchAll(PDO::FETCH_ASSOC);
    print_r($results);

} catch (PDOException $e) {
    die("数据库查询失败: " . $e->getMessage());
}