动态MySQL查询

Question

我正在尝试创建一个动态sql查询，将我的cat列与用户在表单中输入的任何内容进行比较。我的想法是，我将能够获取一组动态值，然后将它们与cat列进行比较。这就是我试图做的：

// Loop to get the array of values from form 
$get_arr = $_GET; 
foreach ($get_arr as $get) { 
    $var = "AND cat LIKE $get"; 
} 
// SQL query 
$sql = "SELECT * FROM items 
WHERE title LIKE 'this' 
AND description LIKE 'that' 
'%$var%'"; 

它不工作 - $var始终显示为空白。解决方案是什么？

Answer 1

你有几个问题。

1. 你不是逃避输入，所以你受SQL注入或语法错误。

2. 您需要在LIKE参数周围加上引号。

3. 您每次通过循环覆盖$var而不是附加到它。

4. 您不会在表达式周围放置任何空格。

5. 你把%围绕整个$var，它应该在LIKE参数里面。

foreach ($get_arr as $get) { 
    $get = mysqli_real_escape_string($conn, $get); 
    $var .= " AND cat like '%$get%'"; 
} 

$sql = "SELECT * FROM items 
     WHERE title LIKE '%this%' 
     AND description LIKE '%that%' 
     %var";