PHP构建MySQL插入查询时，如何过滤JSON中表不存在的字段

嘿，这个场景我太熟悉啦！要解决JSON里多余字段的问题，核心就是先拿到MySQL表的合法列名，再过滤掉JSON里不匹配的键，同时还要注意SQL注入的坑。下面给你一步步的实现方案：

1. 先获取目标表的所有合法列名 #

首先我们需要从数据库里查询出你要插入的表的所有列名，这样就能得到一个“白名单”，后续只保留JSON中在这个名单里的字段。

假设你已经用PDO连接好了数据库（推荐用PDO，比mysqli更灵活安全），可以这样获取列名：

// 替换成你的表名
$targetTable = 'your_target_table';
// 执行查询获取列信息
$columnStmt = $pdo->query("SHOW COLUMNS FROM $targetTable");
$allowedColumns = [];
while ($columnRow = $columnStmt->fetch(PDO::FETCH_ASSOC)) {
    // 转成大写，和你代码里的strtoupper逻辑保持一致，避免大小写不匹配
    $allowedColumns[] = strtoupper($columnRow['Field']);
}

2. 过滤JSON中的多余字段 #

把你的JSON数据解码成PHP数组后，遍历它，只保留键名在白名单里的键值对：

// 假设你的JSON数据已经解码成PHP数组$jsonData
$filteredData = [];
foreach ($jsonData as $key => $value) {
    $upperKey = strtoupper($key);
    // 检查当前键是否在合法列名单里
    if (in_array($upperKey, $allowedColumns)) {
        $filteredData[$upperKey] = $value;
    }
}

3. 构建安全的插入语句（重点！避免SQL注入） #

你原来直接拼接字符串的写法有很大的SQL注入风险，而且如果值里包含单引号还会报错。推荐用预处理语句来构建查询，既安全又省心：

if (!empty($filteredData)) {
    // 拼接字段列表
    $fieldNames = implode(', ', array_keys($filteredData));
    // 生成占位符（比如?, ?, ?）
    $placeholders = implode(', ', array_fill(0, count($filteredData), '?'));
    
    // 组装插入SQL
    $insertSql = "INSERT INTO $targetTable ($fieldNames) VALUES ($placeholders)";
    // 预处理语句
    $insertStmt = $pdo->prepare($insertSql);
    // 绑定值并执行插入
    $insertStmt->execute(array_values($filteredData));
}

额外提醒 #

• 如果你的JSON里有NULL值或者特殊类型（比如日期），预处理语句会自动帮你处理类型转换，不用手动转义。
• 如果用的是mysqli而不是PDO，思路是一样的，只是获取列名和预处理的语法略有不同，核心还是先拿合法列名再过滤。

内容的提问来源于stack exchange，提问作者Honey Last