SQL注入视角下自定义where与select函数的用法及安全性咨询

一、现有写法的功能正确性 #

从功能实现上，你的代码能完成预期的查询需求，但存在几个不够严谨的细节：

• where函数仅生成单个条件片段，需要手动维护参数数组$data1，容易出现参数名与列名不匹配的失误（比如列名修改后参数名未同步）
• fetchCategory每次调用都新建PDO实例，会造成不必要的资源开销，建议复用已有的数据库连接

二、SQL注入安全隐患 #

你的写法存在明确的SQL注入风险，核心问题出在列名的直接拼接：

• 虽然参数值用了绑定（:$column）避免了值注入，但$column是直接拼接到SQL语句中的。如果$column的值来自用户可控输入（比如前端传参、URL参数），攻击者可以传入恶意字符串，比如cat_id; DROP TABLE category--，最终生成的SQL会变成：

  SELECT * FROM category WHERE 1=1 AND cat_id; DROP TABLE category-- = :cat_id; DROP TABLE category--
  

  这会导致数据库执行恶意操作。
• 即使当前$column是硬编码的'cat_id'，如果后续代码修改时引入了用户可控的列名，风险会立刻暴露

三、优化建议 #

1. 列名白名单验证 #

在where函数中添加列名白名单，确保只有允许的列才能被用于条件拼接：

function where($column, $value) {
  // 允许的列名单，根据category表实际字段调整
  $allowedColumns = ['cat_id', 'category', 'parent_id'];
  if (!in_array($column, $allowedColumns)) {
    throw new InvalidArgumentException("Invalid column name: $column");
  }
  return "AND $column = :$column";
}

2. 复用数据库连接 #

不要每次调用fetchCategory都新建PDO实例，改为传入已有的连接：

function fetchCategory($db, $where, $data1) {
  $sql1 = "SELECT * FROM category WHERE 1=1 $where";
  $row1 = $db->read($sql1, $data1);
  return $row1;
}

// 使用时先获取一次连接
$db = Database::newInstance();
$where = where('cat_id', $value->parent_id);
$data1 = array(':cat_id' => $value->parent_id);
$result = fetchCategory($db, $where, $data1);

3. 自动绑定参数（可选） #

让where函数同时返回条件片段和参数，避免手动维护参数数组：

function where($column, $value) {
  $allowedColumns = ['cat_id', 'category', 'parent_id'];
  if (!in_array($column, $allowedColumns)) {
    throw new InvalidArgumentException("Invalid column name: $column");
  }
  return [
    "AND $column = :$column",
    [":$column" => $value]
  ];
}

// 使用时
list($where, $data1) = where('cat_id', $value->parent_id);
$result = fetchCategory($db, $where, $data1);

4. 多条件查询扩展（可选） #

如果需要支持多条件查询，可以扩展为能处理多个条件的函数：

function buildWhereConditions($conditions) {
  $allowedColumns = ['cat_id', 'category', 'parent_id'];
  $sqlFragments = [];
  $params = [];
  foreach ($conditions as $column => $value) {
    if (!in_array($column, $allowedColumns)) {
      throw new InvalidArgumentException("Invalid column name: $column");
    }
    $sqlFragments[] = "$column = :$column";
    $params[":$column"] = $value;
  }
  return $sqlFragments ? 'WHERE ' . implode(' AND ', $sqlFragments) : '';
}

// 使用时
$conditions = ['cat_id' => $value->parent_id];
$where = buildWhereConditions($conditions);
$sql1 = "SELECT * FROM category $where";
$row1 = $db->read($sql1, $params);

内容的提问来源于stack exchange，提问作者Madisson