求助排查MariaDB SQL语法错误：PHP动态拼接SQL语句执行失败

嘿，我一眼就揪出了代码里的两个关键问题，正是它们引发了这个SQL语法错误：

错误根源 #

1. 空值未处理导致SQL语句残缺
   从错误信息里的Invalid query: ... and fdr_id=能明显看出，调用get_fdrproperty时传入的$id是空值。直接拼接空值后，SQL语句末尾变成了fdr_id=，这完全不符合SQL语法规范，自然触发了语法报错。

2. 直接拼接参数的双重风险（语法错误+SQL注入）
   就算$id有值，如果fdr_id是字符串类型字段，你直接拼接参数却没给$id加单引号，同样会导致语法错误。更严重的是，这种直接拼接外部传入参数的写法存在极高的SQL注入风险，恶意攻击者可以构造特殊$id值篡改数据库操作。

修复方案（推荐使用预处理语句，行业最佳实践） #

预处理语句是解决这类问题的标准方案，它能自动处理参数的转义和引号包裹，彻底杜绝SQL注入，还能避免空值导致的语法问题。下面是基于PDO的修复示例：

public function get_fdrproperty($id) {
    // 提前检查id是否为空，避免无效查询
    if (empty($id)) {
        // 根据业务需求返回空数组、null或抛出异常
        return [];
    }

    // 替换成你的PDO数据库连接实例（确保已正确初始化）
    global $pdo;

    // 用占位符?替代直接拼接参数
    $sql = "SELECT fdr_id as id, fdr_name, fdr_parent as parent_id, 
                    fdr_type, fdr_lvl, fdr_hierarcy, fdr_drive, fdr_ukeydate as tanggal 
            FROM acs_adm_folder 
            WHERE fdr_flag <> 'D' AND fdr_id = ?";

    // 预处理SQL语句
    $stmt = $pdo->prepare($sql);
    // 执行查询并传入参数
    $stmt->execute([$id]);

    // 返回关联数组格式的查询结果
    return $stmt->fetch(PDO::FETCH_ASSOC);
}

如果你用的是mysqli扩展，也可以用类似的预处理方式：

public function get_fdrproperty($id) {
    if (empty($id)) {
        return [];
    }

    // 替换成你的mysqli连接实例
    global $conn;

    $sql = "SELECT fdr_id as id, fdr_name, fdr_parent as parent_id, 
                    fdr_type, fdr_lvl, fdr_hierarcy, fdr_drive, fdr_ukeydate as tanggal 
            FROM acs_adm_folder 
            WHERE fdr_flag <> 'D' AND fdr_id = ?";

    $stmt = $conn->prepare($sql);
    // 绑定参数类型（s=字符串，i=整数，根据fdr_id实际类型调整）
    $stmt->bind_param("s", $id);
    $stmt->execute();

    // 获取结果
    $result = $stmt->get_result();
    return $result->fetch_assoc();
}

临时应急修复（不推荐，仅作参考） #

如果暂时无法切换到预处理语句，你可以先做空值检查，同时对参数转义并添加引号，但这种方式仍存在注入风险，仅能临时解决语法问题：

public function get_fdrproperty($id) {
    if (empty($id)) {
        return [];
    }

    // 替换成你的mysqli连接实例
    global $conn;
    // 转义参数，避免语法错误和部分注入风险
    $escaped_id = mysqli_real_escape_string($conn, $id);

    $sql = "SELECT fdr_id as id, fdr_name, fdr_parent as parent_id, 
                    fdr_type, fdr_lvl, fdr_hierarcy, fdr_drive, fdr_ukeydate as tanggal 
            FROM acs_adm_folder 
            WHERE fdr_flag <> 'D' AND fdr_id = '".$escaped_id."'";

    // 后续执行查询的逻辑...
}

内容的提问来源于stack exchange，提问作者Sebastian Reinard