如何解决PHP向Oracle插入带端口URL时端口变为问号的问题

问题原因 #

• 核心诱因是你当前采用直接拼接SQL字符串的写法，PHP OCI扩展解析SQL时，会错误识别单引号包裹的字符串内:开头的内容为绑定变量占位符，未绑定值的占位符会被默认替换为?，才会出现:37080变为?的问题。
• 直接拼接好的SQL在Oracle客户端执行时，客户端不会把单引号内的冒号识别为绑定变量标识，因此执行结果符合预期。
• 额外排查点：可以先执行var_dump($endpoint);输出变量值，确认上游逻辑没有提前修改$endpoint的内容，排除变量本身错误的可能。

解决方案 #

最稳妥的方案是改用OCI官方推荐的绑定变量写法，既可以解决冒号识别错误的问题，还能避免SQL注入风险，示例代码如下：

// 先用带占位符的SQL模板，不要拼接变量
$query = "INSERT INTO RECENTTESTS 
        (EMAIL, FILENAME, SOR, RECIPIENTS, LAUNCHALL, 
        ENDPOINT, ORGOID, ASSOCIATEOID, ROLECODE, REALM, CONSUMERAPPOID) 
        VALUES (:email, :filename, :sor, :recipients, :launchall, :endpoint, :orgoid, :associateoid, :rolecode, :realm, :consumerappoid)";
$stid = oci_parse($conn, $query);

// 逐个绑定变量
oci_bind_by_name($stid, ':email', $email);
oci_bind_by_name($stid, ':filename', $fileNameInput);
oci_bind_by_name($stid, ':sor', $sor);
oci_bind_by_name($stid, ':recipients', $recipients);
oci_bind_by_name($stid, ':launchall', $launchAll);
oci_bind_by_name($stid, ':endpoint', $endpoint);
oci_bind_by_name($stid, ':orgoid', $orgOID);
oci_bind_by_name($stid, ':associateoid', $associateOID);
oci_bind_by_name($stid, ':rolecode', $rolecode);
oci_bind_by_name($stid, ':realm', $realm);
oci_bind_by_name($stid, ':consumerappoid', $consumeOID);

// 执行语句
oci_execute($stid);

如果临时不想改绑定逻辑（不推荐，仅做临时验证用），可以对$endpoint里的冒号做转义处理，或者用q'[]'包裹Oracle字符串，比如拼接的时候写'q\'' . '[' . $endpoint . ']' . '\''，但这种方式还是存在SQL注入风险，优先推荐用绑定变量的方案。

内容的提问来源于stack exchange，提问作者mezdari cherif