Fat Free Framework参数化查询使用LIKE报SQL语法错误如何解决

你遇到的语法错误本质是PDO预处理机制的规则限制：预处理语句的占位符只能对应一个完整的标量值，不能把SQL语法层面的通配符%写在占位符外侧。你原来的写法里，预处理绑定参数时会自动给传入的字符串值包裹单引号，最终生成的SQL语句会变成LIKE %'搜索内容'%的非法结构，不符合MySQL语法要求，所以抛出错误。

推荐按优先级选以下两种写法，都可以保留预处理的防注入能力，不会出现语法问题：

• 方案1（兼容性最高，推荐）：提前把%通配符拼接到要绑定的参数值里，再传入预处理方法。Fat Free Framework的数据库抽象层底层基于PDO实现，该写法完全兼容。

// 先拼接成完整的模糊匹配规则，再做参数绑定
$search = '%' . $idea . '%';
$db->exec('SELECT * FROM ideas WHERE name LIKE :idea', [':idea' => $search]);

这种写法不依赖数据库特定的SQL函数，MySQL、PostgreSQL、SQLite等所有支持PDO的数据库都能正常运行。

• 方案2：在SQL语句内用数据库内置的拼接函数，把通配符和占位符拼接成匹配表达式
  以MySQL环境为例，用内置CONCAT函数完成字符串拼接：

$db->exec('SELECT * FROM ideas WHERE name LIKE CONCAT(\'%\', :idea, \'%\')', [':idea' => $idea]);

注意这种写法需要对应数据库支持对应的字符串拼接函数，跨数据库迁移时需要调整SQL语法。

不要尝试通过关闭预处理自动引号、手动给参数拼接引号的方式解决问题，会直接破坏预处理的SQL注入防护能力，存在严重安全隐患。

内容的提问来源于stack exchange，提问作者nameless