PHP MySQL查询含#特殊字符的字符串变量问题求助

看起来你遇到的问题主要有两个核心原因：URL中#被当作锚点导致参数截断，以及直接拼接SQL语句带来的特殊字符处理风险。咱们一步步来拆解解决：

1. 先搞定AJAX传递#时的参数截断问题 #

在URL里，#属于片段标识符（也就是页面锚点），浏览器默认不会把#及其后面的内容发送给服务器。所以你的AJAX请求在发送quizQR参数前，必须对参数值做URL编码：

// 假设你之前的AJAX参数是直接传值，现在修改为编码后再发送
const quizQR = "包含#的字符串";
const encodedQuizQR = encodeURIComponent(quizQR);
// 把encodedQuizQR作为参数拼到请求URL里或者放在请求体中

这样服务器端的$_GET['quizQR']才能完整接收带#的字符串。

2. 用参数化查询替代直接SQL拼接（彻底解决特殊字符+防注入） #

你提到尝试用mysqli_real_escape_string但没解决，大概率是要么没正确调用（比如漏传数据库连接对象），要么参数已经被URL截断导致值不完整。而参数化查询是MySQLi官方推荐的安全做法，能自动处理所有特殊字符，完全不需要手动转义。

修改你的PHP代码如下：

<?php
include('dbLink2.php');
// 给GET参数加默认值，避免参数不存在时触发警告
$quizqr = $_GET['quizQR'] ?? '';
$recordsID1 = $_GET['recordsID1'] ?? '';
$recordsID2 = $_GET['recordsID2'] ?? '';

$m_array = [];
$m_array1 = [];

// 使用参数化查询的SQL模板，用?作为占位符
$sql = "SELECT quizQR, recordsID FROM `registertestactivity` 
        WHERE (quizQR = ? OR recordsID = ? OR recordsID = ?) LIMIT 1";
// 初始化预处理语句
$stmt = mysqli_prepare($link, $sql);
// 绑定参数：三个字符串类型参数（s代表string）
mysqli_stmt_bind_param($stmt, "sss", $quizqr, $recordsID1, $recordsID2);
// 执行查询
mysqli_stmt_execute($stmt);
// 获取结果集
$result = mysqli_stmt_get_result($stmt);

if (mysqli_num_rows($result) > 0) {
    while($row = mysqli_fetch_assoc($result)) {
        $m_array[] = $row;
    }
} else {
    $m_array1["quizQR"] = "NoRecords";
    $m_array1["recordsID"] = "NoRecords";
    $m_array[0] = $m_array1;
}

echo json_encode($m_array);

// 规范清理资源
mysqli_stmt_close($stmt);
mysqli_free_result($result);
mysqli_close($link);
?>

为什么参数化查询更靠谱？ #

• 自动处理所有特殊字符（包括#、单引号、双引号等），不需要手动调用转义函数；
• 从根源上避免SQL注入攻击，比手动转义的安全性高得多；
• 代码结构更清晰，后续维护更方便。

额外小提示 #

• 别用@屏蔽错误提示，开发阶段开启错误显示能帮你快速定位问题；
• 对用户传入的参数做基本的合法性校验，进一步提升代码稳定性。

内容的提问来源于stack exchange，提问作者Natasha