如何将JavaScript变量转为PHP字符串用于SQL查询？

先明确：你提到的「PHP字符串」实际是JSP（Java Server Pages）语法，接下来分两部分给出解决方案 #

一、无刷新传递下拉值到后端执行SQL查询 #

要实现动态更新不刷新页面，必须用AJAX完成前后端异步通信，步骤如下：

1. 改造前端下拉菜单，添加change事件监听 #

当用户切换下拉选项时，自动发送请求到后端：

<p>Show State: </p>
<select id="State">
    <option value="'%'">All</option>
    <option value="228">Move</option>
    <option value="212">Clean</option>
    <option value="196">Cleaning</option>
    <option value="180">Ready</option>
    <option value="164">Occupied</option>
</select>
<!-- 用来展示查询结果的容器 -->
<div id="resultContainer"></div>

<script>
// 监听下拉框变化事件
document.getElementById("State").addEventListener("change", function() {
    var showstate = this.value;
    // 创建AJAX请求
    var xhr = new XMLHttpRequest();
    xhr.open("POST", "fetchData.jsp", true);
    xhr.setRequestHeader("Content-Type", "application/x-www-form-urlencoded");
    xhr.onload = function() {
        if (xhr.status === 200) {
            // 将后端返回的结果渲染到页面
            document.getElementById("resultContainer").innerHTML = xhr.responseText;
        }
    };
    // 编码参数后发送到后端
    xhr.send("showstate=" + encodeURIComponent(showstate));
});
</script>

2. 后端创建fetchData.jsp处理请求并执行SQL #

核心：必须用PreparedStatement防止SQL注入，禁止直接拼接SQL语句

<%@ page import="java.sql.*" %>
<%
// 获取前端传递的参数
String showstate = request.getParameter("showstate");
// 处理默认值
String chosen = "'%'";
if (showstate != null && !showstate.isEmpty()) {
    chosen = showstate;
}

// 数据库操作（生产环境建议用连接池，此处简化示例）
Connection conn = null;
PreparedStatement pstmt = null;
ResultSet rs = null;
try {
    // 加载数据库驱动（替换为你的驱动类）
    Class.forName("com.mysql.cj.jdbc.Driver");
    // 建立连接（替换为你的数据库地址、账号、密码）
    conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/your_db", "username", "password");
    
    // 使用PreparedStatement绑定参数，避免SQL注入
    String sql = "SELECT * FROM asset WHERE asset.name LIKE ?";
    pstmt = conn.prepareStatement(sql);
    // 移除前端传来的单引号，PreparedStatement会自动处理参数包裹
    pstmt.setString(1, chosen.replace("'", ""));
    
    rs = pstmt.executeQuery();
    
    // 构建返回的HTML结果（也可返回JSON，按需调整）
    out.println("<table border='1'>");
    out.println("<tr><th>资产名称</th><th>其他字段</th></tr>");
    while (rs.next()) {
        out.println("<tr>");
        out.println("<td>" + rs.getString("name") + "</td>");
        out.println("<td>" + rs.getString("your_column") + "</td>"); // 替换为你的实际字段
        out.println("</tr>");
    }
    out.println("</table>");
} catch (Exception e) {
    e.printStackTrace();
    out.println("查询失败：" + e.getMessage());
} finally {
    // 关闭资源
    if (rs != null) rs.close();
    if (pstmt != null) pstmt.close();
    if (conn != null) conn.close();
}
%>

二、将文本框替换为指定选项的下拉菜单 #

把原来的文本输入框改成下拉选择器，并保留回显选中状态的逻辑：

State Name: 
<select id="txt_1" name="statename">
    <option value="all" <%= (statename == null || statename.isEmpty() || statename.equals("all")) ? "selected" : "" %>>All</option>
    <option value="Move" <%= statename != null && statename.equals("Move") ? "selected" : "" %>>Move</option>
    <option value="Clean" <%= statename != null && statename.equals("Clean") ? "selected" : "" %>>Clean</option>
    <option value="Cleaning" <%= statename != null && statename.equals("Cleaning") ? "selected" : "" %>>Cleaning</option>
    <option value="Ready" <%= statename != null && statename.equals("Ready") ? "selected" : "" %>>Ready</option>
    <option value="Occupied" <%= statename != null && statename.equals("Occupied") ? "selected" : "" %>>Occupied</option>
</select>
<button type="submit">Show</button>

<%
String chosen = "'%'";
if (statename != null && !statename.isEmpty()) {
    if (statename.equals("all")) {
        chosen = "'%'";
    } else {
        chosen = "'%" + statename + "%'";
    }
}
// 注意：表单提交方式下，同样建议用PreparedStatement执行SQL，禁止直接拼接
%>

关键注意事项 #

1. SQL注入防护：无论AJAX还是表单提交，绝对不能直接将用户输入拼接到SQL语句中，必须使用PreparedStatement绑定参数。
2. 数据库连接优化：生产环境不要用DriverManager直接创建连接，应使用连接池（如Tomcat JDBC连接池、Apache DBCP）提升性能和稳定性。
3. 参数编码：AJAX发送参数时用encodeURIComponent编码，避免特殊字符导致请求错误。

内容的提问来源于stack exchange，提问作者Ralph