PHP PDO查询中仅替换绑定匿名参数?为实际值的方法求助

问题背景 #

我们需要把SQL查询中的匿名参数?替换为实际参数，仅用于调试时提升可读性，不执行该查询。当前用array_reduce结合preg_replace的实现，在参数值不含问号时能正常工作，但如果参数值里带有?，会错误替换值内的问号，导致后续真正的占位符无法被替换。

现有替换代码 #

return array_reduce($this->bindValues, function ($sql, $binding) {
  return preg_replace('/\?/', is_numeric($binding) ? $binding : '"' . $binding . '"', $sql, 1);
}, $this->query);

正常替换示例 #

• 参数数组：

$data = array(
    'item' => '1',
    'type' => 'Are you ok.'
);

• 原SQL：UPDATE listsetitem=?,type=? WHERE (id = ?) ;
• 替换后结果：UPDATE listsetitem="1",type="Are you ok." WHERE (id = 1) ;

异常情况示例 #

• 参数数组：

$data = array(
    'item' => '1',
    'type' => 'Are you ok?'
);

• 错误替换结果：UPDATE listsetitem="1",type="Are you ok2" WHERE (id = ?) ;

解决方案 #

核心是只替换SQL语法中作为占位符的?，排除字符串（单引号、双引号、反引号包裹内容）和注释里的问号。可以通过正则匹配精准定位合法占位符，再逐个替换。

实现代码 #

function replaceSqlPlaceholders($sql, $bindValues) {
    // 正则匹配规则：跳过字符串、注释，只匹配真正的占位符?
    $pattern = '/
        (?:
            "(?:\\\\.|[^"\\\\])*"       # 匹配双引号包裹的字符串
            | \'(?:\\\\.|[^\'\\\\])*\' # 匹配单引号包裹的字符串
            | `(?:\\\\.|[^`\\\\])*`     # 匹配反引号包裹的标识符
            | --[^\r\n]*                # 匹配单行注释
            | \/\*[\s\S]*?\*\/          # 匹配多行注释
        )(*SKIP)(*FAIL)                 # 跳过上述内容，不参与后续匹配
        | \?                            # 仅匹配不在上述内容中的?
    /x';

    $index = 0;
    return preg_replace_callback($pattern, function($matches) use ($bindValues, &$index) {
        // 如果参数数量不足，保留原占位符
        if (!isset($bindValues[$index])) {
            return '?';
        }
        $binding = $bindValues[$index++];
        // 数字直接返回，字符串转义后加引号
        if (is_numeric($binding)) {
            return $binding;
        }
        $escapedBinding = addslashes($binding);
        return ""{$escapedBinding}"";
    }, $sql);
}

// 测试异常场景
$query = 'UPDATE `list` set `item`=?,`type`=? WHERE  (`id` = ?) ;';
$bindValues = ['1', 'Are you ok?', 2];
echo replaceSqlPlaceholders($query, $bindValues);

代码说明 #

• 正则通过(*SKIP)(*FAIL)机制跳过SQL中的字符串、注释，确保只匹配真正的参数占位符
• 用preg_replace_callback按顺序替换每个占位符，保证参数和占位符一一对应
• 对字符串参数做转义处理，避免参数内的引号破坏SQL结构

测试结果 #

针对上述异常场景，会得到正确的替换结果：
UPDATE listsetitem="1",type="Are you ok?" WHERE (id = 2) ;

内容的提问来源于stack exchange，提问作者Mike