如何将自定义SQL的静态数据构建替换为动态实现？

问题背景 #

原本通过静态数组定义过滤规则，再结合foreach和多分支if生成SQL条件语句，示例代码如下：

// 静态定义过滤条件
$filter1 = ['type' => 'eq', 'field' => 'age', 'value' => 30];
$filter2 = ['type' => 'gt', 'field' => 'score', 'value' => 80];
$custom_fields_array = [$filter1, $filter2];

// 生成SQL条件
$sql_conditions = [];
foreach ($custom_fields_array as $filter) {
    if ($filter['type'] == 'eq') {
        $sql_conditions[] = "{$filter['field']} = '{$filter['value']}'";
    } elseif ($filter['type'] == 'gt') {
        $sql_conditions[] = "{$filter['field']} > '{$filter['value']}'";
    }
    // 其他判断分支...
}
$where_clause = implode(' AND ', $sql_conditions);

现在已实现从customers表动态获取数据填充$filter1、$filter2并组成$custom_fields_array，但直接通过字符串拼接生成条件时报错，无法复用原有的多分支判断逻辑，需要可行的动态实现方案。

解决方案：优化foreach逻辑+操作符映射 #

通过以下步骤解决问题，同时避免SQL注入风险：

1. 从数据库动态获取过滤规则
   先从customers表查询出过滤条件的配置（字段、操作符、值），组装成数组：

   // 示例：用PDO从customers表获取动态过滤规则
   $pdo = new PDO("mysql:host=localhost;dbname=your_db", "user", "pass");
   $stmt = $pdo->query("SELECT filter_type, field_name, filter_value FROM customers WHERE filter_enabled = 1");
   $custom_fields_array = $stmt->fetchAll(PDO::FETCH_ASSOC);
   

2. 用操作符映射替代多分支if
   定义一个操作符映射数组，把业务层面的标识（如eq、gt）对应到SQL操作符，避免冗长的多分支判断：

   $operator_map = [
       'eq' => '=',
       'gt' => '>',
       'lt' => '<',
       'like' => 'LIKE',
       'ne' => '<>'
   ];
   

3. 遍历动态数组生成安全的SQL条件
   在foreach中通过映射数组匹配操作符，同时使用预处理语句的占位符避免SQL注入，替代直接字符串拼接：

   $sql_conditions = [];
   $bind_values = [];
   
   foreach ($custom_fields_array as $filter) {
       // 跳过不支持的操作符
       if (!isset($operator_map[$filter['filter_type']])) {
           continue;
       }
   
       $operator = $operator_map[$filter['filter_type']];
       $field = $filter['field_name'];
       $placeholder = ":{$field}";
   
       // 处理LIKE等需要通配符的特殊情况
       if ($operator === 'LIKE') {
           $bind_values[$field] = "%{$filter['filter_value']}%";
       } else {
           $bind_values[$field] = $filter['filter_value'];
       }
   
       $sql_conditions[] = "`{$field}` {$operator} {$placeholder}";
   }
   
   // 组装最终的WHERE子句
   $where_clause = !empty($sql_conditions) ? 'WHERE ' . implode(' AND ', $sql_conditions) : '';
   

4. 执行预处理查询
   用生成的条件执行SQL，确保安全且正确：

   $main_sql = "SELECT * FROM target_table {$where_clause}";
   $stmt = $pdo->prepare($main_sql);
   $stmt->execute($bind_values);
   $results = $stmt->fetchAll(PDO::FETCH_ASSOC);
   

方案优势 #

• 用操作符映射数组替代多分支if，代码更简洁且易扩展（新增操作符只需在映射数组中添加）
• 使用预处理语句和占位符，彻底避免SQL注入风险，同时解决直接字符串拼接导致的语法报错
• 直接遍历动态获取的过滤数组，无缝对接从customers表获取的数据源，实现完全动态的条件生成

内容的提问来源于stack exchange，提问作者Giancarlo