PHP中如何处理MySQL预处理语句里的空变量不影响查询结果

问题根因 #

你当前代码的问题在于无论$_POST["is_searchfield"]是否有值，都会强制在WHERE子句中加入itemSparse.Display_lang = ?的条件，当变量为空时相当于查询Display_lang等于空字符串的记录，自然不会返回符合预期的结果。

解决方案 #

采用动态拼接SQL+动态绑定参数的写法，仅在搜索字段存在有效值时才拼接对应的查询条件，同时完全保留预处理逻辑避免SQL注入风险，修改后的代码如下：

$conn = new mysqli("localhost", "xxxx", "xxxx", "xxxx");
$conn->set_charset("utf8");

// 初始化固定参数
$classid = "4";
$fileid = "10";
// 初始化SQL、参数绑定数组、参数类型字符串
$sqlitemsparse = "SELECT * FROM itemSparse INNER JOIN item ON item.id = itemSparse.id";
$where = [];
$params = [];
$types = '';

// 固定查询条件
$where[] = "item.ClassID = ?";
$params[] = $classid;
$types .= 's';

// 仅当搜索字段有值时加入对应条件
if(!empty($_POST["is_searchfield"])) {
    $where[] = "itemSparse.Display_lang = ?";
    $params[] = $_POST["is_searchfield"];
    $types .= 's';
}

// 固定查询条件
$where[] = "itemSparse.fileid = ?";
$params[] = $fileid;
$types .= 's';

// 拼接完整SQL
$sqlitemsparse .= " WHERE " . implode(' AND ', $where);
$sqlitemsparse .= " LIMIT 0, 10";

// 预处理+动态绑定参数
$stmt = $conn->prepare($sqlitemsparse);
$stmt->bind_param($types, ...$params);
$stmt->execute();
$resultitemsparse = $stmt->get_result();
$rowsitemsparse = $resultitemsparse->fetch_all(MYSQLI_ASSOC);

如果你的PHP版本低于5.6不支持...可变参数展开语法，可以替换绑定参数的逻辑为call_user_func_array写法，实现效果一致。

内容的提问来源于stack exchange，提问作者Berstos