如何在PHP的MsSQL查询中正确使用带双引号的CONTAINS函数

问题本质 #

你直接将变量$query拼接进SQL字符串，不仅双引号未正确转义引发语法错误，还存在高危SQL注入风险。MSSQL中全文搜索的CONTAINS函数对引号格式有特定要求，而PHP的字符串解析规则和MSSQL的转义规则不匹配，导致生成的SQL语句无效。

解决方法 #

1. 手动转义（不推荐，仍有注入风险） #

如果必须使用字符串拼接，需处理两个关键点：

• MSSQL中字符串内的双引号需要用两个双引号转义
• 确保$query中的特殊字符不会破坏SQL结构

// 先转义$query中的双引号
$escapedQuery = str_replace('"', '""', $query);
// 构建SQL，用单引号包裹CONTAINS的搜索条件，内部双引号保留转义后的格式
$sql = "SELECT * FROM table1 WHERE CONTAINS ((col1, col2, col3, col4, col5, col6), '\"*$escapedQuery*\"')";

也可以用HEREDOC语法避免引号嵌套混乱：

$escapedQuery = str_replace('"', '""', $query);
$sql = <<<SQL
SELECT * FROM table1 WHERE CONTAINS ((col1, col2, col3, col4, col5, col6), '"*$escapedQuery*"')
SQL;

2. 参数化查询（推荐，安全且无转义烦恼） #

参数化查询是数据库交互的标准做法，由驱动自动处理转义，彻底避免语法错误和SQL注入：

PDO示例

// 初始化PDO连接
$pdo = new PDO("sqlsrv:Server=your_server_name;Database=your_db_name", "username", "password");

// 构造全文搜索的匹配模式
$searchPattern = "\"*$query*\"";
// 带参数占位符的SQL语句
$sql = "SELECT * FROM table1 WHERE CONTAINS ((col1, col2, col3, col4, col5, col6), ?)";

// 预编译并执行查询
$stmt = $pdo->prepare($sql);
$stmt->execute([$searchPattern]);
// 获取结果
$results = $stmt->fetchAll(PDO::FETCH_ASSOC);

SQLSRV扩展示例

// 初始化SQLSRV连接
$conn = sqlsrv_connect("your_server_name", [
    "Database" => "your_db_name",
    "UID" => "username",
    "PWD" => "password"
]);

$searchPattern = "\"*$query*\"";
$sql = "SELECT * FROM table1 WHERE CONTAINS ((col1, col2, col3, col4, col5, col6), ?)";

// 执行参数化查询
$stmt = sqlsrv_query($conn, $sql, [$searchPattern]);
// 处理结果（示例）
while ($row = sqlsrv_fetch_array($stmt, SQLSRV_FETCH_ASSOC)) {
    // 操作数据
}

原查询报错原因 #

原代码中，PHP会解析字符串内的"*$query*"，若$query包含数字、特殊字符或变量解析异常，会生成无效的SQL语法。例如当$query值为"0"时，生成的SQL可能出现未闭合的引号或错误的字符位置，触发Incorrect syntax near '0'的错误。参数化查询完全规避了这种变量直接替换引发的问题。

内容的提问来源于stack exchange，提问作者LonnyBrum