PHP生成动态年份变量字符串在MySQL循环中失效问题排查

我尝试生成如下格式的代码字符串用于PHP操作MySQL的场景，生成的输出看似正确，但将其放入MySQL查询的while循环中却无法生效。不过手动编写这些代码时，$sales2020等变量可以正常获取$row中的数据。请问我忽略了什么？

期望生成的代码内容：

$sales2020 = $row["2020"];
$sales2021 = $row["2021"];
$sales2022 = $row["2022"];
$sales2023 = $row["2023"];

用于生成上述字符串的PHP代码：

//Row Strings Generator
$d = date('Y');
$sales_year = '';
for($i = 2020; $i <= $d; $i ++) {
    $sales_year .= '$sales'.$i.' = $row["'.$i.'"];';
}

相关MySQL查询代码：

$yearTotals = $db_data->query($yearTotals_sql);
while($row = $yearTotals->fetch_assoc()) {
    $sales_year;  // 此处无法生效
       
    // 如下手动编写的方式可以正常工作
    //$sales2020 = $row["2020"];$sales2021 = $row["2021"];$sales2022 = $row["2022"];$sales2023 = $row["2023"];
}

核心问题 #

你生成的$sales_year只是一个字符串，PHP不会自动把字符串内容当作可执行代码处理。直接写$sales_year;只是引用这个字符串变量，不会触发里面的赋值逻辑——这就是手动编写代码能生效，变量引用却不行的根本原因。

解决方案 #

方案1：使用可变变量（推荐）

不需要生成字符串，直接在循环内创建并赋值目标变量，这是更安全、高效的写法：

$d = date('Y');
$yearTotals = $db_data->query($yearTotals_sql);
while($row = $yearTotals->fetch_assoc()) {
    for($i = 2020; $i <= $d; $i ++) {
        $varName = 'sales' . $i;
        $$varName = $row[$i]; // 可变变量，$$varName等价于$sales2020、$sales2021等
    }
    // 此处可直接使用$sales2020等变量
}

方案2：使用eval()执行字符串代码（不推荐）

如果一定要用生成的字符串代码，可以用eval()强制执行，但强烈不推荐——eval()存在严重安全风险，若$row数据被恶意篡改，可能引发代码注入攻击。若必须使用，写法如下：

$yearTotals = $db_data->query($yearTotals_sql);
while($row = $yearTotals->fetch_assoc()) {
    eval($sales_year); // 执行字符串中的代码
}

内容的提问来源于stack exchange，提问作者RonnieT