PHP实现同一搜索请求中多订单ID查询的技术求助

核心思路 #

将逗号分隔的订单ID拆分为数组，使用SQL的IN子句做精确匹配，同时通过参数化查询修复原代码的SQL注入漏洞，实现安全的批量查询。

修改后的代码 #

elseif( $_GET["search_type"] == "order_id" && $_GET["search"] ):
    $search_where = $_GET["search_type"];
    $search_word  = urldecode($_GET["search"]);
    
    // 拆分订单ID，过滤空值并转为整数确保输入合法性
    $order_ids = array_filter(array_map('intval', explode(',', $search_word)));
    
    if (!empty($order_ids)) {
        // 生成与订单ID数量匹配的参数占位符
        $placeholders = implode(',', array_fill(0, count($order_ids), '?'));
        
        // 构建参数化的统计查询
        $count_stmt = $conn->prepare("
            SELECT * FROM orders 
            INNER JOIN clients ON clients.client_id = orders.client_id 
            WHERE orders.order_id IN ($placeholders) 
            AND orders.dripfeed='1' 
            AND orders.subscriptions_type='1'
        ");
        $count_stmt->execute($order_ids);
        $count = $count_stmt->rowCount();
        
        // 构建通用查询条件（用于分页或其他关联查询）
        $search_ids = implode(',', $order_ids);
        $search = "WHERE orders.order_id IN ($search_ids) AND orders.dripfeed='1' AND orders.subscriptions_type='1' ";
    } else {
        // 处理无效输入（如全是逗号、非数字内容）
        $count = 0;
        $search = "WHERE 1=0"; // 强制返回空结果，避免SQL语法错误
    }
    
    $search_link = "?search=".$search_word."&search_type=".$search_where;

关键细节说明 #

• 输入清洗：通过intval转换确保所有ID为整数，array_filter过滤拆分后产生的空值（比如输入,100,,101的情况）。
• 安全防护：用?作为参数占位符，执行时传入ID数组，彻底避免SQL注入风险，解决原代码直接拼接字符串的安全问题。
• 精确匹配：用IN替代原有的LIKE，避免LIKE '%100%'错误匹配1000、2100这类无关ID的问题。
• 异常兼容：如果没有有效ID，通过WHERE 1=0确保返回空结果，避免SQL执行报错。

内容的提问来源于stack exchange，提问作者Juwel1211