PDO预处理语句结合LIKE查询的最佳实践：如何正确绑定参数

try {
    // 准备PDO语句，尝试绑定列名和搜索词
    $stmt = $readdb->prepare("SELECT * FROM athletes WHERE :search LIKE :term");

    // 绑定列名（错误用法）
    $stmt->bindValue(':search', $search);
    // 绑定搜索词
    $stmt->bindValue(':term', '%' . $term . '%');

    // 执行
    $stmt->execute();

    // ... 处理结果
} catch (PDOException $e) {
    // 错误处理
    echo "查询失败: " . $e->getMessage();
}

// 假设 $search 变量代表要查询的列名，例如 'name' 或 'description'
// 假设 $term 变量代表用户输入的搜索关键词

// 步骤1：严格净化列名（非常重要！）
$allowedColumns = ['name', 'sport', 'country']; // 定义允许查询的列名白名单
$searchColumn = 'name'; // 默认列名

if (isset($_GET['column']) && in_array($_GET['column'], $allowedColumns)) {
    $searchColumn = $_GET['column']; // 从用户输入获取并验证
}
// 确保 $searchColumn 变量现在是安全的，可以直接嵌入SQL

try {
    // 准备PDO语句，将净化后的列名直接嵌入，并绑定搜索词
    $stmt = $readdb->prepare("SELECT * FROM athletes WHERE {$searchColumn} LIKE :term");

    // 绑定搜索词
    $stmt->bindValue(':term', '%' . $term . '%');

    // 执行
    $stmt->execute();

    // 获取并处理结果
    $results = $stmt->fetchAll(PDO::FETCH_ASSOC);
    foreach ($results as $row) {
        // ... 处理每一行数据
        print_r($row);
    }

} catch (PDOException $e) {
    // 错误处理
    echo "查询失败: " . $e->getMessage();
}

/**
 * 净化列名，确保其在允许的白名单中。
 *
 * @param string $inputColumn 用户提供的列名。
 * @param array $allowedColumns 允许的列名白名单。
 * @param string|null $defaultColumn 如果输入无效，则使用的默认列名。
 * @return string 安全的列名。
 * @throws InvalidArgumentException 如果输入无效且没有提供有效的默认列名。
 */
function sanitizeColumnName(string $inputColumn, array $allowedColumns, ?string $defaultColumn = null): string
{
    if (in_array($inputColumn, $allowedColumns, true)) {
        return $inputColumn;
    }
    if ($defaultColumn !== null && in_array($defaultColumn, $allowedColumns, true)) {
        return $defaultColumn;
    }
    // 如果没有有效的默认列，或者默认列也不在白名单中，抛出异常
    throw new InvalidArgumentException("不允许的列名: '{$inputColumn}'，且没有有效的默认列。");
}

// 使用示例
$userProvidedColumn = $_GET['column'] ?? ''; // 假设用户通过GET参数提供列名
$allowedAthleteColumns = ['id', 'name', 'sport', 'country', 'age'];

try {
    $safeColumn = sanitizeColumnName($userProvidedColumn, $allowedAthleteColumns, 'name');
    // 现在 $safeColumn 可以安全地用于SQL查询
    // 例如：
    // $stmt = $readdb->prepare("SELECT * FROM athletes WHERE {$safeColumn} LIKE :term");
    // $stmt->bindValue(':term', '%' . $term . '%');
    // $stmt->execute();
} catch (InvalidArgumentException $e) {
    echo "错误: " . $e->getMessage();
    // 终止脚本或采取其他错误处理措施
    exit;
}