使用PDO预编译语句时查询返回空数组问题排查

我编写了obtenerEdicionesEnCandidato函数，用于获取用户的信息/文件类型，但使用PDO预编译语句执行查询时返回空数组。该函数通过$mod参数生成不同的$filtro条件，将$idcandidato和$filtro绑定到预编译SQL中；但直接将变量拼接进SQL时能正常返回结果，其他同类写法的函数可正常工作，无法定位问题。

函数原代码：

public function obtenerEdicionesEnCandidato($idcandidato, $mod = ''){
  switch($mod){
    case 'datos':
      $filtro = 'permiso IN ("DATOS_PERSONALES","PLAN_CARRERA","SECUNDARIO")';
      break;
    case 'saf':
      $filtro = 'permiso IN ("FOTO_COMP_PAGO","FOTO_TICKET_PAGO")';
      break;
    case 'analitico':
      $filtro = 'permiso = "FOTOS_ANALITICO"';
      break;
    case 'dni':
      $filtro = 'permiso = "FOTOS_DNI"';
      break;
    case 'documentos':
      $filtro = 'permiso IN ("FOTOS_DNI","FOTO_COMP_PAGO","FOTO_TICKET_PAGO","FOTOS_ANALITICO")';
      break;
    default:
      $filtro = 'TRUE';
      break;
  }
  $data = [
    'id' => $idcandidato,
    'filtro' => $filtro
  ];
  try{
    $stmt = $this->DBConexion->prepare("SELECT * FROM editardatos WHERE id_candidato = :id AND usado = 0 AND :filtro");
    $stmt->execute($data);
    $resultado = $stmt->fetchAll();
    $stmt = null;
  }
  catch(PDOException $e){
    echo "Se ha producido un error al obtener las ediciones solicitadas: ".$e->getMessage();
    echo "<br>";
  }
  catch(Exception $e){
    echo "Se ha producido un error al obtener las ediciones solicitadas: ".$e->getMessage();
    echo"<br>";
  }
  return $resultado;
}

问题原因 #

PDO的参数绑定仅支持替换SQL中的值，不能替换完整的语法片段。当你把:filtro绑定为整个条件字符串时，PDO会将其当作一个字符串字面量处理，实际执行的SQL逻辑完全不符合预期——相当于在WHERE条件后添加了一个永远为真（或不符合匹配逻辑）的字符串判断，自然查不到目标数据。

解决方案 #

方案1：直接拼接SQL（安全，无用户输入风险） #

你的$filtro是通过内部固定的$mod分支生成，没有外部用户可控的输入，不存在SQL注入风险，直接将$filtro拼接进SQL即可：

public function obtenerEdicionesEnCandidato($idcandidato, $mod = ''){
  switch($mod){
    case 'datos':
      $filtro = 'permiso IN ("DATOS_PERSONALES","PLAN_CARRERA","SECUNDARIO")';
      break;
    case 'saf':
      $filtro = 'permiso IN ("FOTO_COMP_PAGO","FOTO_TICKET_PAGO")';
      break;
    case 'analitico':
      $filtro = 'permiso = "FOTOS_ANALITICO"';
      break;
    case 'dni':
      $filtro = 'permiso = "FOTOS_DNI"';
      break;
    case 'documentos':
      $filtro = 'permiso IN ("FOTOS_DNI","FOTO_COMP_PAGO","FOTO_TICKET_PAGO","FOTOS_ANALITICO")';
      break;
    default:
      $filtro = 'TRUE';
      break;
  }
  try{
    // 直接拼接$filtro到SQL，内部生成无风险
    $stmt = $this->DBConexion->prepare("SELECT * FROM editardatos WHERE id_candidato = :id AND usado = 0 AND $filtro");
    $stmt->execute(['id' => $idcandidato]);
    $resultado = $stmt->fetchAll();
    $stmt = null;
  }
  catch(PDOException $e){
    echo "Se ha producido un error al obtener las ediciones solicitadas: ".$e->getMessage();
    echo "<br>";
  }
  catch(Exception $e){
    echo "Se ha producido un error al obtener las ediciones solicitadas: ".$e->getMessage();
    echo"<br>";
  }
  return $resultado;
}

方案2：严格参数绑定（适合有用户输入的场景） #

如果未来$mod或权限值可能来自用户输入，需要严格绑定每个值以避免SQL注入。可以针对不同分支生成参数占位符和绑定数组：

public function obtenerEdicionesEnCandidato($idcandidato, $mod = ''){
  $filtro = 'TRUE';
  $bindData = ['id' => $idcandidato];
  
  switch($mod){
    case 'datos':
      $permisos = ["DATOS_PERSONALES", "PLAN_CARRERA", "SECUNDARIO"];
      $placeholders = implode(',', array_map(fn($i) => ":perm$i", array_keys($permisos)));
      $filtro = "permiso IN ($placeholders)";
      foreach($permisos as $idx => $perm){
        $bindData["perm$idx"] = $perm;
      }
      break;
    case 'saf':
      $permisos = ["FOTO_COMP_PAGO", "FOTO_TICKET_PAGO"];
      $placeholders = implode(',', array_map(fn($i) => ":perm$i", array_keys($permisos)));
      $filtro = "permiso IN ($placeholders)";
      foreach($permisos as $idx => $perm){
        $bindData["perm$idx"] = $perm;
      }
      break;
    case 'analitico':
      $filtro = 'permiso = :perm';
      $bindData['perm'] = "FOTOS_ANALITICO";
      break;
    case 'dni':
      $filtro = 'permiso = :perm';
      $bindData['perm'] = "FOTOS_DNI";
      break;
    case 'documentos':
      $permisos = ["FOTOS_DNI","FOTO_COMP_PAGO","FOTO_TICKET_PAGO","FOTOS_ANALITICO"];
      $placeholders = implode(',', array_map(fn($i) => ":perm$i", array_keys($permisos)));
      $filtro = "permiso IN ($placeholders)";
      foreach($permisos as $idx => $perm){
        $bindData["perm$idx"] = $perm;
      }
      break;
  }
  
  try{
    $stmt = $this->DBConexion->prepare("SELECT * FROM editardatos WHERE id_candidato = :id AND usado = 0 AND $filtro");
    $stmt->execute($bindData);
    $resultado = $stmt->fetchAll();
    $stmt = null;
  }
  catch(PDOException $e){
    echo "Se ha producido un error al obtener las ediciones solicitadas: ".$e->getMessage();
    echo "<br>";
  }
  catch(Exception $e){
    echo "Se ha producido un error al obtener las ediciones solicitadas: ".$e->getMessage();
    echo"<br>";
  }
  return $resultado;
}

总结 #

问题核心是误解了PDO参数绑定的作用范围——它只能替换值，不能替换SQL语法片段。由于当前场景下$filtro是内部生成的固定内容，直接拼接是最简单且安全的解决方案。

内容的提问来源于stack exchange，提问作者SNSil