PDO预处理语句中LIKE操作与动态列名的正确使用指南

try {
    // 错误示例：尝试绑定列名
    $stmt = $readdb->prepare("SELECT * FROM athletes WHERE :search LIKE :term");

    // 假设 $search 包含 'name'， $term 包含 'john'
    $stmt->bindValue(':search', $search); // 错误：将列名作为值绑定
    $stmt->bindValue(':term', '%' . $term . '%');

    $stmt->execute();
    $results = $stmt->fetchAll(PDO::FETCH_ASSOC);
    // ...
} catch (PDOException $e) {
    // 错误处理
    error_log("Database error: " . $e->getMessage());
}

// 假设 $search 变量包含要查询的列名，例如 'name' 或 'city'
// ！！重要：$search 变量必须经过严格的清理和验证！！
$columnName = 'name'; // 示例：这里应该是一个经过安全验证的动态列名
$term = 'john';       // 示例：用户输入的搜索词

// 构建包含动态列名的SQL查询
// 注意：{$columnName} 直接嵌入到SQL字符串中
$sql = "SELECT * FROM athletes WHERE {$columnName} LIKE :term";

try {
    $stmt = $readdb->prepare($sql);

    // 绑定搜索值，这部分是安全的
    $stmt->bindValue(':term', '%' . $term . '%');

    $stmt->execute();
    $results = $stmt->fetchAll(PDO::FETCH_ASSOC);
    // 处理结果
    print_r($results);
} catch (PDOException $e) {
    // 健壮的错误处理
    error_log("Database error: " . $e->getMessage());
    echo "An error occurred during the search. Please try again later.";
}

$allowedColumns = ['id', 'name', 'email', 'city', 'country', 'sport']; // 定义允许的列名
$requestedColumn = $_GET['search_by'] ?? 'name'; // 假设列名来自用户输入，默认'name'
$term = $_GET['term'] ?? ''; // 假设搜索词来自用户输入

$columnName = '';
if (in_array($requestedColumn, $allowedColumns)) {
    $columnName = $requestedColumn;
} else {
    // 如果请求的列名不在白名单中，可以抛出异常、记录错误、或者使用一个安全的默认值
    error_log("Attempted search on invalid column: " . $requestedColumn);
    $columnName = 'name'; // 使用默认列名
}

if (!empty($term) && !empty($columnName)) {
    $sql = "SELECT * FROM athletes WHERE {$columnName} LIKE :term";
    try {
        $stmt = $readdb->prepare($sql);
        $stmt->bindValue(':term', '%' . $term . '%');
        $stmt->execute();
        $results = $stmt->fetchAll(PDO::FETCH_ASSOC);
        print_r($results);
    } catch (PDOException $e) {
        error_log("Database error: " . $e->getMessage());
        echo "An error occurred.";
    }
} else {
    echo "Please provide a valid search term and column.";
}

$requestedColumn = $_GET['search_by'] ?? 'name';
$term = $_GET['term'] ?? '';

$columnName = '';
// 验证列名是否只包含字母、数字和下划线
if (preg_match('/^[a-zA-Z0-9_]+$/', $requestedColumn)) {
    $columnName = $requestedColumn;
} else {
    error_log("Invalid column name format: " . $requestedColumn);
    $columnName = 'name'; // 使用默认列名
}

// 后续的SQL构建和执行与白名单示例相同
// ...