PHP：如何构建防MySQL注入的动态JSON查询选择器？

核心问题分析 #

直接拼接动态JSON路径到SQL语句会引发SQL注入风险，而自定义正则过滤函数难以覆盖所有合法JSON路径语法，容易出现误拦截或漏防问题。以下是几种最优安全实现方式：

方法1：使用JSON_EXTRACT+PDO参数化传递路径（推荐） #

MySQL的->>运算符本质是JSON_UNQUOTE(JSON_EXTRACT(column, path))的语法糖，我们可以直接调用JSON_EXTRACT函数，将JSON路径作为参数通过PDO预编译绑定，完全避免字符串拼接风险。

示例代码：

$sql = <<<SQL
    SELECT JSON_UNQUOTE(JSON_EXTRACT(`key`, :json_path)) AS `setting_value`
    FROM `settings`
    LIMIT 1
SQL;

$statement = $this->handle()->prepare($sql);
// 直接传入原始路径字符串，PDO自动完成安全处理
$statement->execute([':json_path' => $path]);
$records = $statement->fetchAll(PDO::FETCH_OBJ);

这种方式严格遵循参数化查询的安全规范，无需手动过滤路径，同时支持所有合法JSON路径语法（包括带特殊字符的键名，如$."user name"）。

方法2：用PDO的quote()方法转义路径字符串 #

如果坚持使用->>运算符，可以通过PDO的quote()方法对路径字符串进行安全转义后，再拼接进SQL语句：

示例代码：

// 依赖PDO自动处理字符串转义，规避注入风险
$quotedPath = $this->handle()->quote($path);
$sql = <<<SQL
    SELECT `key` ->> $quotedPath AS `setting_value`
    FROM `settings`
    LIMIT 1
SQL;

$statement = $this->handle()->query($sql);
$records = $statement->fetchAll(PDO::FETCH_OBJ);

注意：此方法安全性低于参数化查询，仅作为兼容旧代码的备选方案。

方法3：添加JSON路径合法性验证 #

结合MySQL的JSON_PATH_VALID()函数，在查询中先验证路径合法性，进一步提升安全层级：

示例代码：

$sql = <<<SQL
    SELECT JSON_UNQUOTE(JSON_EXTRACT(`key`, :json_path)) AS `setting_value`
    FROM `settings`
    -- 仅当路径合法时才返回结果
    WHERE JSON_PATH_VALID(:json_path) = 1
    LIMIT 1
SQL;

$statement = $this->handle()->prepare($sql);
$statement->execute([':json_path' => $path]);
$records = $statement->fetchAll(PDO::FETCH_OBJ);

若传入路径不合法，JSON_PATH_VALID()会返回0，查询不会返回任何结果，有效拦截恶意或无效路径输入。

为什么自定义过滤函数不可取 #

你编写的cleanJsonSelector过滤函数存在以下问题：

• 无法支持带特殊字符的合法JSON路径（如$."key-with-dashes"或$."key space"），会误删必要字符导致路径失效；
• 正则规则难以覆盖所有JSON路径语法细节，可能遗漏合法字符或放过潜在注入风险；
• 维护成本高，后续MySQL更新JSON路径语法时，需同步修改正则规则。

内容的提问来源于stack exchange，提问作者Mr Mikkél