如何为拆分的MySQL查询正确使用Prepared Statement

你当前的代码有几个核心错误，导致预处理语句无法正常运行：

1. 错误地拼接预处理对象与字符串
   你一开始就调用了$conn->prepare()，此时$q已经是mysqli_stmt对象，而非SQL字符串，后续用.拼接SQL片段完全无效，这是最关键的问题。

2. 参数绑定未适配动态条件
   若仅传入name或category其中一个参数，直接绑定两个变量会导致参数数量不匹配，触发报错。

3. LIMIT参数存在注入风险
   $offset和$no_of_records_per_page直接拼入SQL，未使用参数绑定，存在SQL注入隐患。

修复后的代码实现 #

// 初始化SQL基础语句
$sql = "SELECT * FROM report WHERE 1";
// 存储参数值的数组
$params = [];
// 存储参数类型的字符串（s=字符串，i=整数）
$paramTypes = '';

// 处理name条件
if(isset($_GET['name']) && !empty($_GET['name'])){
    $sql .= " AND user = ?";
    $params[] = $_GET['name'];
    $paramTypes .= 's';
}

// 处理category条件
if(isset($_GET['category']) && !empty($_GET['category'])){
    $sql .= " AND category = ?";
    $params[] = $_GET['category'];
    $paramTypes .= 's';
}

// 添加排序和分页，LIMIT参数也用占位符
$sql .= " ORDER BY report.id desc LIMIT ?, ?";
// 分页参数是整数，类型为i
$params[] = $offset;
$paramTypes .= 'i';
$params[] = $no_of_records_per_page;
$paramTypes .= 'i';

// 预处理SQL
$stmt = $conn->prepare($sql);
// 动态绑定参数：用call_user_func_array处理可变数量的参数
if(!empty($paramTypes)){
    call_user_func_array([$stmt, 'bind_param'], array_merge([$paramTypes], $params));
}

// 执行并获取结果
$stmt->execute();
$all = $stmt->get_result();

代码说明 #

• 先构建完整的SQL字符串，最后再调用prepare()，确保预处理的是最终完整的SQL语句。
• 用数组动态收集参数和类型字符串，适配不同数量的查询条件。
• LIMIT的两个参数也使用占位符绑定，避免注入风险，同时注意分页参数是整数，对应类型标识i。
• 使用call_user_func_array处理可变数量的参数绑定，因为bind_param需要传入的是单个变量而非数组。

内容的提问来源于stack exchange，提问作者Tanvir