在处理数据时，SQL LIKE查询是否需要特别注意？

在简单情况下，用户输入用于使用SQL LIKE过滤数据，是否有任何特殊字符我应该注意？在处理数据时，SQL LIKE查询是否需要特别注意？

$input = filter_input(INPUT_POST, 'name', FILTER_SANITIZE_STRING); 

// Should I strip characters like '%'? 

$sth = $db->prepare("SELECT `id` FROM `names` WHERE `name` LIKE :name"); 
$sth->execute(['name' => $input . '%']);

我指的是任何可能会显着减慢查询/吃掉CPU并因此被用于恶意目的的事情。

来源

2012-07-26 Gajus

为什么在这方面首先使用LIKE？ – 2012-07-26 08:09:46

因为我正在寻找名为“George Thomson”的名字，只给出“George”和类似案例。 – Gajus 2012-07-26 08:11:10

啊，我现在明白了。是的，在这种情况下，在输入中去掉'％'和'_'是有意义的 – 2012-07-26 08:13:36

你需要关心的$输入，它将包含逗号标记或引号

来源

2012-07-26 08:16:23 meadlai

当使用参数查询时 – 2012-07-26 08:19:11

你应该逃脱用于通配符匹配的字符。

请参阅Escaping MySQL wild cards了解有关此操作的良好讨论。

来源

2012-07-26 08:38:57 Tass

在处理数据时，SQL LIKE查询是否需要特别注意？

回答

相关问题