, wie die Konvertierung von% (Anzahl), um Code zu verhindern

Question

ich diese Linie in PHP, die einen Abfrageparameter in PDO baut:

$p[':criteria'] = '%' . $search . '%'; 

Die Linie von MySQL in Frage wie folgt aussieht:

d.d_name LIKE :criteria 

Das Problem ist, wenn ich eine Zahl in $ Suche setzen, wandelt es es in ein Zeichen. Zum Beispiel setzen, wenn ich $ Suche:

6008 

Ich will es sein:

%6008% 

aber was ich bekommen ist:

`08% 

Es sieht aus wie es% ist - Codierung der ersten 2 Zeichen. Ich habe versucht, urldecode() zu verwenden, um es rückgängig zu machen, aber es hat nicht funktioniert. Es behielt die Saite als `08%.

Wie kann ich dies verhindern?

Answer 1

BIND MECANISM ist zu allgemein, weil es mit vielen Typen umgehen muss und es gibt einige Randfälle wie diese.

Also in diesem Fall, anstatt binden verwenden, montieren Sie Ihre Abfrage als String:

$sql = "...whatever d.d_name LIKE '%" . $search . "%'"; 

Debug $ search sicher zu sein, es keine Anführungszeichen oder etwas vor verketten hat. Wenn es mit Trimm oder ähnliches entfernt wurde.

Überprüfen Sie auch die $ Suche korrekt, da SQL-Injection-Angriffe auftreten.

Answer 2

Dies ist nur eine Illusion. Sie versuchen, Ihre Suchanfrage mit einem ungeeigneten Tool wie einem Browser anzuzeigen. Und dieses Tool führt eine Konvertierung durch. Absolut irrelevant für SQL-Sachen.

Während für eine Datenbank Ihre Abfrage genau gleich bleibt. Und es gibt kein einziges Problem mit irgendwelchen Konvertierungen. Führen Sie einfach Ihre Abfrage aus und holen Sie sich das Ergebnis.

Answer 3

Ich empfehle Ihnen, über string escape zu lesen, kann es Ihnen helfen, dieses Problem zu lösen, und auch gute Sache zu wissen, wie einige Programmiergrundlagen.

Answer 4

Versuchen Sie eine vorbereitete Anweisung wie im folgenden Beispiel zu verwenden.

$sth = $dbh->prepare("SELECT * 
    FROM `test` 
    WHERE `criteria` LIKE :criteria"); 
$sth->bindParam(':criteria', '%'.$search.'%'); 
$sth->execute();