如何用多个下拉框与日期输入筛选PostgreSQL查询？

问题 #

我有包含4个下拉选择框和2个日期输入框的HTML页面，想要编写PostgreSQL查询时仅应用已选中的筛选条件，忽略未选择的选项。比如只选了Filter1和Filter2、没选Filter3时，查询只按前两个条件过滤。尝试用OR和AND组合但效果不好，相关代码如下：

HTML代码 #

<label>Filter 1:</label>
<select id="list" name="list" >
            <option value="null"> </option>
            <option value="opt1">OPT1</option>
            <option value="op2">OPT2</option>
            <option value="op3">OPT3</option>
</select>

<label>Filter 2:</label>
<select id="list2" name="list2" >
            <option value="null"> </option>
            <option value="opt21">OPT21</option>
            <option value="op22">OPT22</option>
            <option value="op23">OPT23</option>
</select>

<label>Filter 3:</label>
<select id="list3" name="list3" >
            <option value="null"> </option>
            <option value="opt31">OPT31</option>
            <option value="op32">OPT32</option>
            <option value="op33">OPT33</option>
</select>

...

PHP代码 #

if(isset($_POST['list1']) || isset($_POST['list2']) || isset($_POST['list3']) || isset($_POST['vdate']) || isset($_POST['kdate']) || ) 
{        
        $list1= $_POST['list1'];
        $list2= $_POST['list2'];
        $list3= $_POST['list3'];
        
        $kdate= $_POST['kdate'];
        $vdate= $_POST['vdate'];
            
            $query = "
select *
from table
where status = $list1 and day= '$list2' and city= '$list3'  and  datum BETWEEN '$kdate' and '$vdate'
order by date desc, idopont desc
" ;  

        $result = pg_query($query);
        $bg="";

        while($row = pg_fetch_row($result))
        {   
        
            echo "<tr $bg>";
            
            echo "<td>" .$row[0] ."</td>";  //0     
            echo "<td >" .$row[1] ."</td>"; //1
            echo "<td >" .$row[2] ."</td>"; 
            echo "<td >" .$row[3] . "</td>";
            echo "<td >" .$row[4] ."</td>"; 
            echo "<td >" .$row[5] ."</td>";
            echo "<td>" .$row[6] ."</td>";
            echo "<td>" .$row[7] ."</td>";
            echo "<td >" .$row[8] . "  </br> " .$row[15] . "</td>";
            echo "<td >" .$row[9] . "</td>";
            
            echo "<td>" .$row[10] ."</td>";
            echo "<td>" .$row[11] ."</td>";
            echo "<td >" .$row[12] . "</td>";
            echo "<td >" .$row[13] . "</td>";
            echo "<td >" .$row[14] . "</td>";
            
            echo "</tr>";
            
        }
        
}

请问怎么实现仅按已选中的条件（AND逻辑）进行查询过滤？

解决方案 #

核心思路是动态构建WHERE子句：只把用户选择了有效参数的条件加入查询，同时必须用参数化查询防止SQL注入（原代码存在严重注入风险）。具体实现步骤如下：

1. 预处理参数：获取并清理POST参数，判断每个参数是否为有效选择（不是"null"或空值）。
2. 构建条件数组：遍历有效参数，将对应的SQL条件加入数组。
3. 拼接查询语句：如果条件数组不为空，就把条件用AND连接后拼到WHERE子句；如果没有任何条件，就去掉WHERE子句（或加1=1这类恒成立条件）。
4. 执行参数化查询：用PostgreSQL的pg_query_params方法绑定参数，替代直接拼接字符串。

修改后的PHP代码如下：

<?php
// 初始化并清理参数
$list1 = isset($_POST['list1']) ? trim($_POST['list1']) : 'null';
$list2 = isset($_POST['list2']) ? trim($_POST['list2']) : 'null';
$list3 = isset($_POST['list3']) ? trim($_POST['list3']) : 'null';
$kdate = isset($_POST['kdate']) ? trim($_POST['kdate']) : '';
$vdate = isset($_POST['vdate']) ? trim($_POST['vdate']) : '';

$conditions = [];
$params = [];
$paramCount = 0;

// 处理Filter1
if ($list1 !== 'null' && !empty($list1)) {
    $paramCount++;
    $conditions[] = "status = $" . $paramCount;
    $params[] = $list1;
}

// 处理Filter2
if ($list2 !== 'null' && !empty($list2)) {
    $paramCount++;
    $conditions[] = "day = $" . $paramCount;
    $params[] = $list2;
}

// 处理Filter3
if ($list3 !== 'null' && !empty($list3)) {
    $paramCount++;
    $conditions[] = "city = $" . $paramCount;
    $params[] = $list3;
}

// 处理日期范围（需同时填开始和结束日期才生效）
if (!empty($kdate) && !empty($vdate)) {
    $paramCount++;
    $conditions[] = "datum BETWEEN $" . $paramCount . " AND $" . ($paramCount + 1);
    $params[] = $kdate;
    $params[] = $vdate;
    $paramCount++;
}

// 拼接最终查询语句
$query = "SELECT * FROM table";
if (!empty($conditions)) {
    $query .= " WHERE " . implode(" AND ", $conditions);
}
$query .= " ORDER BY date DESC, idopont DESC";

// 执行参数化查询
$result = pg_query_params($query, $params);

$bg = "";
while ($row = pg_fetch_row($result)) {
    echo "<tr $bg>";
    echo "<td>" . $row[0] . "</td>";
    echo "<td>" . $row[1] . "</td>";
    echo "<td>" . $row[2] . "</td>";
    echo "<td>" . $row[3] . "</td>";
    echo "<td>" . $row[4] . "</td>";
    echo "<td>" . $row[5] . "</td>";
    echo "<td>" . $row[6] . "</td>";
    echo "<td>" . $row[7] . "</td>";
    echo "<td>" . $row[8] . "</br>" . $row[15] . "</td>";
    echo "<td>" . $row[9] . "</td>";
    echo "<td>" . $row[10] . "</td>";
    echo "<td>" . $row[11] . "</td>";
    echo "<td>" . $row[12] . "</td>";
    echo "<td>" . $row[13] . "</td>";
    echo "<td>" . $row[14] . "</td>";
    echo "</tr>";
}
?>

关键说明 #

• 只有参数为有效选择（不是默认的"null"或空值）时，对应的条件才会加入查询。
• 使用pg_query_params绑定参数，彻底避免SQL注入风险，比直接拼接字符串安全得多。
• 日期范围逻辑可按需调整：比如允许只填开始日期（改为datum >= $param）或只填结束日期（datum <= $param）。

内容的提问来源于stack exchange，提问作者Thomas