PHP类中使用GET变量执行带WHERE条件的SELECT查询无返回结果问题

• 首要问题：字符串类型的查询值未添加引号
  你当前代码拼接生成的SQL会出现两类异常：
  1. 如果store_product_images表的token字段是字符串类型，比如实际存储的值是prod_001这类带字母、特殊字符的内容，你没给变量值加单引号的话，数据库会把拼接后的内容当成列名解析，而非待匹配的字符串值，最终因为找不到对应匹配的行，返回空结果。
  2. 如果GET请求没有传Token参数，$this->Token会被赋值为null，最终拼接出的SQL会变成WHERE token =，直接触发SQL语法错误。多数通用数据库封装类会默认静默处理SQL执行错误，不会将语法错误直接抛出到前端，这也是为什么你看到的现象是“无结果返回”，而非直接弹出SQL语法错误的原因。
• 次生风险：直接拼接用户传入的GET参数到SQL中，存在严重的SQL注入漏洞，哪怕临时把引号加上解决了查询问题，也会因为未做参数过滤，被恶意传入的查询参数篡改SQL逻辑。

临时问题验证方法 #

如果只是想快速定位是不是缺引号导致的问题，可以先在变量拼接位置加上单引号，临时测试：

$query = $this->db->query("SELECT * FROM store_product_images WHERE token = '".$this->Token."' ORDER BY display_order ASC");

如果加完引号后查询能正常返回结果，就说明之前的空结果完全是缺引号导致的。测试时可以临时打印最终拼接的SQL语句，对比实际执行逻辑和预期的差异：

// 仅调试使用，上线前务必删除
$finalSql = "SELECT * FROM store_product_images WHERE token = '".$this->Token."' ORDER BY display_order ASC";
echo $finalSql;
die;

生产环境正确实现 #

绝对不要直接把用户传入的参数直接拼进SQL语句，统一使用预处理语句绑定参数的写法，同时解决语法错配和注入风险：

• 基于PDO的数据库操作类写法参考：

  function getRows(){   
      $stmt = $this->db->prepare("SELECT * FROM store_product_images WHERE token = :token ORDER BY display_order ASC");
      $stmt->bindValue(':token', $this->Token, PDO::PARAM_STR);
      $stmt->execute();
      return $stmt->fetchAll(PDO::FETCH_ASSOC);
  }
  

• 基于mysqli的数据库操作类写法参考：

  function getRows(){   
      $stmt = $this->db->prepare("SELECT * FROM store_product_images WHERE token = ? ORDER BY display_order ASC");
      // s代表绑定的参数类型为字符串
      $stmt->bind_param('s', $this->Token);
      $stmt->execute();
      $result = $stmt->get_result();
      return $result->fetch_all(MYSQLI_ASSOC);
  }
  

内容的提问来源于stack exchange，提问作者Designer