Moodle动态数据库查询执行失败：请求排查错误原因

嘿，我来帮你排查这段Moodle代码里的问题，主要有两个核心原因导致数据库读取错误，还有一个优化点需要注意：

1. 数组直接拼接进SQL导致语法错误 #

你用explode(':', $parts)得到了数组$arr，但直接把$arr写到LIKE '%$arr%'里时，PHP会自动把数组转换成字符串"Array"，最终SQL语句会变成uename LIKE '%Array%'——这不仅完全不符合你的查询逻辑，还可能触发数据库语法错误，导致读取失败。

2. 严重的SQL注入风险 #

直接将用户提交的$_POST['make']数据拼接进SQL语句是非常危险的操作，恶意用户可以通过构造特殊输入来篡改SQL逻辑，窃取或破坏数据库数据。Moodle的$DB类提供了安全的参数化查询方式，必须使用这种方式来避免注入。

3. 可选优化：使用Moodle表前缀占位符 #

直接写死mdl_前缀的表名不够通用，因为不同Moodle实例的数据库表前缀可能不同。Moodle支持用{表名}的格式自动替换成正确前缀，让代码适配更多环境。

修复后的代码示例（单条件查询） #

假设你需要匹配explode后的第一个元素：

$parts = $_POST['make'];
$arr = explode(':', $parts);
// 处理数组为空的边界情况，避免报错
$searchTerm = $arr[0] ?? '';

// 使用Moodle参数化查询+表前缀占位符
$sql = "SELECT m.id, m.name, m.create_time, m.end_time,
               ue.id as ueid, ue.name as uename, ue.join_time, ue.left_time
        FROM {block_report_bbb_meeting} m
        JOIN {block_report_bbb_user_events} ue ON m.id = ue.meeting_id
        WHERE ue.name LIKE :searchterm";

// 绑定参数，自动处理转义和通配符
$result = $DB->get_records_sql($sql, ['searchterm' => "%$searchTerm%"]);

多条件匹配的情况（如果explode后有多个关键词需要OR匹配） #

$parts = $_POST['make'];
// 过滤空元素，避免无效的查询条件
$arr = array_filter(explode(':', $parts));

if (empty($arr)) {
    // 没有搜索条件时返回空或所有记录，根据需求调整
    $result = [];
} else {
    $placeholders = [];
    $params = [];
    // 为每个关键词创建独立的占位符
    foreach ($arr as $index => $term) {
        $placeholder = ":term$index";
        $placeholders[] = "ue.name LIKE $placeholder";
        $params[$placeholder] = "%$term%";
    }
    $whereClause = implode(' OR ', $placeholders);

    $sql = "SELECT m.id, m.name, m.create_time, m.end_time,
                   ue.id as ueid, ue.name as uename, ue.join_time, ue.left_time
            FROM {block_report_bbb_meeting} m
            JOIN {block_report_bbb_user_events} ue ON m.id = ue.meeting_id
            WHERE $whereClause";

    $result = $DB->get_records_sql($sql, $params);
}

这样修改后，既解决了数据库语法错误，又彻底避免了SQL注入风险，同时代码的通用性也更强了。

内容的提问来源于stack exchange，提问作者Marco Medic