PHP/SQL多字段模糊搜索：处理含空格关键词与安全实践-php教程-PHP中文网

PHP/SQL多字段模糊搜索：处理含空格关键词与安全实践

心靈之曲

发布： 2025-11-23 11:10:56

原创

705人浏览过

PHP/SQL多字段模糊搜索：处理含空格关键词与安全实践

本文旨在解决php/sql数据库多字段模糊搜索中，关键词包含空格时无法正确匹配的问题。通过介绍如何在php中使用explode函数拆分搜索词，并在sql查询中构建or like条件来实现多词匹配。同时，重点强调并演示如何利用预处理语句（prepared statements）有效防范sql注入漏洞，提升应用安全性与健壮性。

在开发基于PHP和MySQL的Web应用时，实现数据库表格数据的模糊搜索功能是常见需求。然而，当用户输入的搜索关键词包含空格，并且我们希望这些空格能起到分隔不同搜索词的作用时，传统的CONCAT_WS结合单个LIKE模式的查询方式往往无法达到预期效果。此外，直接将用户输入拼接到SQL查询字符串中会带来严重的安全风险——SQL注入。本教程将深入探讨这些问题，并提供一个安全且有效的解决方案。

理解现有问题

原始代码中，搜索逻辑通常会将多个字段连接成一个字符串，然后使用LIKE '%".$valueToSearch."%'进行匹配。例如：

// 存在问题的SQL查询示例
$query = "SELECT * FROM `master` WHERE CONCAT_WS(`id`, `office`, `firstName`, `lastName`, ...) LIKE '%".$valueToSearch."%'";

登录后复制

这里存在两个主要问题：

空格处理问题： 当$valueToSearch为“test 2”时，SQL查询会尝试查找一个字段或字段组合中包含“test 2”这个完整字符串的记录。这意味着如果“test”在一个字段，“2”在另一个字段，或者它们之间没有空格，这种匹配将失败。它无法将“test”和“2”视为独立的搜索词。
SQL注入漏洞： 最严重的问题是$valueToSearch变量直接被拼接到SQL查询字符串中。恶意用户可以输入特殊的SQL代码，从而改变查询的意图，甚至获取、修改或删除数据库中的敏感数据。例如，如果$valueToSearch被设置为' OR 1=1 --，查询将变为... LIKE '%' OR 1=1 --%'，这会导致所有记录都被返回，因为1=1永远为真，--会将后续内容注释掉。

解决方案一：基于PHP与SQL的关键词拆分与安全防护

为了解决空格处理和SQL注入问题，我们可以采取以下策略：

Tana

“节点式”AI智能笔记工具，支持超级标签。

查看详情

立即学习“PHP免费学习笔记（深入）”；

在PHP中将用户输入的搜索字符串按空格拆分成多个独立的关键词。
为每个关键词在SQL查询中构建独立的LIKE条件，并与需要搜索的字段结合。
使用预处理语句（Prepared Statements）来安全地绑定这些关键词，彻底杜绝SQL注入。

1. 关键词拆分与SQL查询构建

首先，我们需要修改PHP代码，使用explode()函数将$valueToSearch拆分成数组。然后，遍历这个数组，为每个关键词生成一个LIKE子句，并用OR连接起来。同时，我们将使用mysqli扩展的预处理语句来确保安全性。

<?php

// 数据库连接函数，请替换为您的实际连接信息
function connectDB() {
    // 强烈建议将数据库凭据存储在安全的地方，例如环境变量或配置文件，而不是硬编码
    $connect = mysqli_connect("localhost", "your_username", "your_password", "your_database");
    if (!$connect) {
        die("数据库连接失败: " . mysqli_connect_error());
    }
    return $connect;
}

/**
 * 过滤和执行数据库查询的函数，支持预处理语句
 * @param string $query SQL查询字符串
 * @param array $params 绑定参数数组 (用于预处理语句)
 * @param string $param_types 参数类型字符串 (例如 'ssi' 代表两个字符串一个整数)
 * @return mysqli_result|false 查询结果集或失败
 */
function filterTable($query, $params = [], $param_types = '') {
    $connect = connectDB();

    if (!empty($params)) {
        // 使用预处理语句
        $stmt = mysqli_prepare($connect, $query);
        if (!$stmt) {
            die("SQL预处理失败: " . mysqli_error($connect));
        }

        // 动态绑定参数：mysqli_stmt_bind_param 需要引用传递
        $bind_args = [$param_types]; // 第一个参数是类型字符串
        foreach ($params as $key => $value) {
            $bind_args[] = &$params[$key]; // 将每个参数的引用添加到绑定数组
        }

        call_user_func_array([$stmt, 'bind_param'], $bind_args);

        mysqli_execute($stmt);
        $result = mysqli_get_result($stmt); // 获取结果集
        mysqli_stmt_close($stmt);
    } else {
        // 如果没有参数，执行普通查询 (例如初始加载所有数据)
        $result = mysqli_query($connect, $query);
    }

    mysqli_close($connect);
    return $result;
}

$search_result = null; // 初始化结果变量

if(isset($_POST['search'])) {
    $valueToSearch = trim($_POST['valueToSearch']); // 清理输入字符串首尾空格
    $keywords = explode(' ', $valueToSearch); // 按空格拆分关键词
    $keywords = array_filter($keywords); // 移除空关键词，防止生成空LIKE条件

    $query_parts = [];
    $params = [];
    $param_types = '';

    // 定义需要搜索的字段列表
    $searchable_columns = ['id', 'office', 'firstName', 'lastName', 'type', 'status', 'deadline', 'contactPref', 'email', 'phoneNumber', 'taxPro'];

    if (!empty($keywords)) {
        foreach ($keywords as $keyword) {
            $keyword_pattern = '%' . $keyword . '%'; // 为每个关键词添加通配符

            $column_conditions = [];
            foreach ($searchable_columns as $column) {
                $column_conditions[] = "`{$column}` LIKE ?"; // 使用占位符
                $params[] = $keyword_pattern; // 将带通配符的关键词模式加入参数数组
                $param_types .= 's'; // 假设所有搜索参数都按字符串处理
            }
            // 将所有字段针对当前关键词的OR条件组合成一个AND部分
            $query_parts[] = '(' . implode(' OR ', $column_conditions) . ')';
        }
        // 将所有关键词的AND部分组合成最终的WHERE子句
        $query = "SELECT * FROM `master` WHERE " . implode(' AND ', $query_parts);
        $search_result = filterTable($query, $params, $param_types);
    } else {
        // 如果没有有效的搜索关键词，则显示所有数据
        $query = "SELECT * FROM `master`";
        $search_result = filterTable($query);
    }

} else {
    // 页面初次加载时显示所有数据
    $query = "SELECT * FROM `master`";
    $search_result = filterTable($query);
}

?>

<html>
    <head>
        <title>PHP HTML TABLE DATA SEARCH</title>
        <style>
            table,tr,th,td
            {
                border: 1px solid black;
                border-collapse: collapse; /* 优化表格边框显示 */
                padding: 8px; /* 增加单元格内边距 */
            }
            th {
                background-color: #f2f2f2; /* 表头背景色 */
                text-align: left;
            }
            body {

登录后复制

以上就是PHP/SQL多字段模糊搜索：处理含空格关键词与安全实践的详细内容，更多请关注php中文网其它相关文章！