PHP If/Else语句未命中所有场景及员工为ALL时的查询问题

首先梳理下你遇到的核心问题：
最初的if-elseif分支逻辑存在漏洞，单个条件满足时会因为分支判断顺序或变量校验逻辑的问题，导致WHERE子句无法正确添加；后续修改的代码又出现了重复添加WHERE关键字、employee为"All"时条件未被正确忽略的问题。

推荐写法：用条件数组构建WHERE子句 #

这种方式逻辑清晰，能完美处理单条件、多条件以及"All"的特殊场景，还能避免语法错误：

$date = $_POST['userSelectedDate']; 
$employee = $_POST['empName'];
// 初始化空数组存储筛选条件
$conditions = [];

// 处理员工条件：仅当员工不是"All"且有效时加入
if ($employee !== 'All' && !empty($employee)) {
    $conditions[] = "employee = '$employee'";
}

// 处理日期条件：仅当日期有效时加入
if (!empty($date)) {
    $conditions[] = "saleDate = '$date'";
}

// 最后拼接WHERE子句
if (!empty($conditions)) {
    $sql .= " WHERE " . implode(" AND ", $conditions);
}

关键优势： #

• 逻辑无死角：每个条件独立判断，不会因为分支顺序导致遗漏
• 自动处理多条件：用implode(" AND ", $conditions)自动拼接多个条件，无需手动写复杂的AND逻辑
• 自然忽略"All"场景：当员工选择"All"时，直接跳过该条件的添加，符合业务需求

重要安全警告：SQL注入风险！ #

你当前直接将用户输入的变量拼入SQL语句的写法，存在严重的SQL注入风险，攻击者可通过构造恶意输入窃取或篡改数据库数据。生产环境必须使用预处理语句，以下是PDO的示例：

// 假设已建立PDO连接$pdo
$date = $_POST['userSelectedDate']; 
$employee = $_POST['empName'];
$conditions = [];
$params = [];

if ($employee !== 'All' && !empty($employee)) {
    $conditions[] = "employee = :employee";
    $params[':employee'] = $employee;
}

if (!empty($date)) {
    $conditions[] = "saleDate = :saleDate";
    $params[':saleDate'] = $date;
}

$sql = "SELECT * FROM your_table_name"; // 替换为你的基础SQL
if (!empty($conditions)) {
    $sql .= " WHERE " . implode(" AND ", $conditions);
}

// 执行预处理查询
$stmt = $pdo->prepare($sql);
$stmt->execute($params);
$result = $stmt->fetchAll();

通过参数绑定的方式，能彻底规避SQL注入风险，这是生产环境的标准写法。

内容的提问来源于stack exchange，提问作者jamesMandatory