Server-side Datatable搜索异常：含Where子句仍显示额外数据

兄弟，我太懂你这种头疼的情况了——明明已经把数据正常展示在Datatable里，结果一搜索就出来一堆不相关的内容，简直让人挠头。结合你说的request.php里Where子句没起作用的问题，我给你梳理几个最常见的坑和解决办法：

• 只过滤了单一列，忽略了其他可搜索字段
  很多人刚开始写的时候，只会给某一列加LIKE条件，比如只搜name列，但Datatable的全局搜索是要匹配所有可搜索列的。你得遍历所有需要参与搜索的字段，用OR拼接条件，比如：

  $search_val = $_GET['search[value]'];
  $searchable_cols = ['username', 'email', 'role']; // 替换成你的表字段
  $where = '';
  
  if (!empty($search_val)) {
      $where = 'WHERE (';
      $col_count = 0;
      foreach ($searchable_cols as $col) {
          if ($col_count > 0) $where .= ' OR ';
          $where .= "$col LIKE ?";
          $col_count++;
      }
      $where .= ')';
  }
  

  这样所有指定列里包含搜索词的行都会被筛选出来，不会漏也不会错。

• SQL拼接时的逻辑错误
  比如你可能把WHERE条件和其他过滤条件（比如状态筛选）的逻辑搞混了，比如没加括号导致AND/OR优先级出错。举个例子，如果你还要加一个status = 1的条件，正确的写法应该是：

  $where = 'WHERE status = 1 AND (';
  // 这里拼接搜索的OR条件
  $where .= ')';
  

  要是没加括号，搜索条件会和status=1的逻辑混乱，导致不该出现的行被查出来。

• 没处理SQL注入，同时匹配异常
  直接把用户输入的搜索值拼进SQL里，不仅有安全风险，还可能因为特殊字符（比如%、_）导致匹配出错。一定要用预处理语句绑定参数，像上面代码里的?占位符，然后执行时传入带通配符的参数：

  $stmt = $pdo->prepare($sql);
  $params = [];
  if (!empty($search_val)) {
      foreach ($searchable_cols as $_) {
          $params[] = "%{$search_val}%";
      }
  }
  $stmt->execute($params);
  

• 返回的统计数据错误
  Datatable需要你返回recordsTotal（总数据条数）和recordsFiltered（过滤后的条数）。要是你把recordsFiltered直接设成recordsTotal，那就算你过滤了数据，Datatable还是会按总条数分页，导致无关数据出现在页面上。正确的做法是：

  • recordsTotal：执行不带Where的COUNT(*)查询
  • recordsFiltered：执行带Where条件的COUNT(*)查询

最后再检查下你的request.php里有没有这些问题，调整后应该就能正常过滤了。

内容的提问来源于stack exchange，提问作者pippo