自动补全功能大小写匹配异常技术求助

你的自动补全出现的匹配异常，核心原因有两个：

• MySQL查询的大小写敏感性：原SQL直接用like '%$id%'匹配，如果数据库字段的排序规则是区分大小写的（比如utf8_bin），当用户输入大写开头的关键词（如Bru、York）时，就无法匹配数据库里存储的小写内容；而输入小写后半段（如russels、ork）时，刚好命中字段里的小写部分，所以能正常匹配。
• 严重的SQL注入风险：原代码直接将用户输入的$_GET['q']拼接进SQL语句，这是非常危险的写法，极易被攻击者利用注入恶意代码。

下面是修改后的完整代码，同时解决匹配异常和安全问题：

1. 修改Search.php文件 #

<?php
$dbServername = "localhost";
$dbUsername = "root";
$dbPassword = "";
$dbName= "vlucht";

// 建立数据库连接
$conn = mysqli_connect($dbServername, $dbUsername, $dbPassword, $dbName);
mysqli_set_charset($conn, 'utf8');

// 处理输入参数，避免空值和无效字符
$searchTerm = isset($_GET['q']) ? trim($_GET['q']) : '';

// 使用预处理语句+大小写统一转换，实现安全且不区分大小写的匹配
$sql = "SELECT discipline FROM overzicht WHERE LOWER(discipline) LIKE CONCAT('%', LOWER(?), '%')";
$stmt = $conn->prepare($sql);
$stmt->bind_param("s", $searchTerm); // 绑定字符串类型的参数
$stmt->execute();
$result = $stmt->get_result();

if ($result->num_rows > 0) {
    while($row = $result->fetch_assoc()) {
        echo $row["discipline"]. "\n";
    }
} else {
    echo "0 results";
}

// 关闭资源，避免内存泄漏
$stmt->close();
$conn->close();
?>

2. 关键修改点说明 #

• 解决大小写匹配问题：通过LOWER(discipline)将数据库字段值转为小写，LOWER(?)将用户输入的关键词也转为小写，无论用户输入大写还是小写，都能统一匹配，彻底解决大小写敏感的异常。
• 杜绝SQL注入：使用mysqli的预处理语句（prepare+bind_param），避免直接拼接用户输入到SQL中，从根源上防止注入攻击。
• 参数校验优化：增加isset和trim处理，避免空值或空白字符导致的查询异常。

额外优化建议 #

• 如果数据量较大，建议给discipline字段添加全文索引，like '%...%'的模糊查询效率较低，全文索引能大幅提升搜索性能。
• 升级jQuery版本：你当前使用的jQuery 1.4.2过于老旧，存在安全漏洞，建议升级到最新稳定版（如3.x系列），同时确保jquery.autocomplete.js能兼容新版本。

内容的提问来源于stack exchange，提问作者user11947538