PHP开发MySQL接口时如何按filterId条件动态追加ORDER BY子句

核心思路 #

提前通过硬编码建立filterId和排序字段的映射白名单，既严格匹配需求规则，又避免SQL注入风险。收集到所有符合要求的排序字段后，按需求调整字段优先级，最后判断是否需要拼接ORDER BY子句。

完整实现代码 #

// 排序字段白名单映射：key为filter_id，value为对应数据库排序字段
$sortFieldMap = [
    '3' => 'p.sp',
    '4' => 'm.merchantName'
];
// 排序方向白名单校验，仅允许ASC/DESC
$allowSortDir = ['ASC', 'DESC'];
$sortDir = 'ASC';
// 若需支持用户自定义排序方向可放开下方注释
// if (isset($_GET['sortDir']) && in_array(strtoupper($_GET['sortDir']), $allowSortDir)) {
//     $sortDir = strtoupper($_GET['sortDir']);
// }

$sortFields = [];
// 替换为你自己的基础查询SQL
$baseSql = "SELECT * FROM your_table_name WHERE 1=1 ";

if(isset($_GET["Filter"]))
{
    $filter = trim($_GET['Filter']);
    $data = json_decode($filter);
    // 增加JSON解析合法性校验，避免异常报错
    if (json_last_error() === JSON_ERROR_NONE && is_array($data)) {
        foreach($data as $dt)
        {   
            foreach($dt as $d)
            {
                if(!isset($d->filter_id)) continue;
                if($d->filter_id == "1")
                {
                    // 此处保留你原有filter_id=1的业务逻辑
                }
                // 匹配需要排序的filter_id，存入数组
                if(isset($sortFieldMap[$d->filter_id])) {
                    $sortFields[$d->filter_id] = $sortFieldMap[$d->filter_id];
                }
            }
        }
    }
}

// 按需求调整排序优先级：同时存在filterId3和4时，4对应的字段在前
if (isset($sortFields['3'], $sortFields['4'])) {
    $sortFields = [
        '4' => $sortFields['4'],
        '3' => $sortFields['3']
    ];
}

// 非空则拼接ORDER BY子句
if (!empty($sortFields)) {
    $baseSql .= " ORDER BY " . implode(',', $sortFields) . " " . $sortDir;
}

// 后续直接执行$baseSql即可

注意事项 #

• 所有动态拼接进SQL的内容都做了白名单校验，完全避免SQL注入风险，请勿直接使用用户传入的原始内容拼接SQL
• 新增了JSON解析合法性校验，避免传入非法格式的Filter参数导致程序报错
• 严格匹配需求规则，多个filterId同时存在时会自动调整排序字段顺序

内容的提问来源于stack exchange，提问作者Ritika