PHP MySQL WHERE语句用AND时，第二个条件为false仍返回true的问题

嘿，这个坑我之前踩过好几次！大概率是你的查询逻辑或者应用层判断出了漏洞，我给你列几个最常见的原因和解决办法：

1. 逻辑运算符用错了（把AND写成了OR） #

这是最容易犯的低级错误——本来要同时满足用户名和密码都正确，结果不小心写成了“用户名正确或密码正确”，那只要用户名对，不管密码错成啥样都会返回true。

举个例子：

-- 错误写法：用了OR，导致只要用户名对就匹配
SELECT * FROM users WHERE username = 'correct_user' OR password = 'wrong_pass';

-- 正确写法：必须同时满足两个条件
SELECT * FROM users WHERE username = 'correct_user' AND password = 'wrong_pass';

2. 字符串拼接SQL导致的注入绕过 #

如果你的代码是直接把用户输入拼进SQL语句里（而不是用预处理语句），很容易被注入绕过。比如用户输入的密码是' OR '1'='1，会让整个查询条件永远为真。

伪代码示例（危险写法）：

$username = "correct_user";
$password = "' OR '1'='1";
// 拼接后生成的SQL会变成：
SELECT * FROM users WHERE username = 'correct_user' AND password = '' OR '1'='1';

这个时候'1'='1'永远成立，所以查询会返回所有用户数据，自然会被判定为true。

解决办法：必须用预处理语句（Prepared Statements），让数据库帮你处理参数绑定，避免注入：

-- MySQL预处理示例
PREPARE login_stmt FROM 'SELECT * FROM users WHERE username = ? AND password = ?';
SET @valid_user = 'correct_user', @input_pass = 'wrong_pass';
EXECUTE login_stmt USING @valid_user, @input_pass;

3. 密码对比的逻辑错误 #

如果你的数据库里存的是加密后的密码（比如bcrypt、MD5哈希），但你直接用明文密码去和哈希值对比，或者反过来？比如：

• 数据库里是bcrypt('right_pass')，但你查询时用password = 'wrong_pass'（明文对比哈希），这时候本来应该不匹配，但如果你的代码里错误地把用户输入的密码也做了重复加密？或者你用了LIKE而不是=，导致部分匹配就返回true？

比如错误的哈希对比：

-- 错误：直接用明文密码对比哈希值
SELECT * FROM users WHERE username = 'correct_user' AND password = 'wrong_pass';

-- 正确：应该用加密函数处理输入后再对比（以MySQL的SHA2为例）
SELECT * FROM users WHERE username = 'correct_user' AND password = SHA2('wrong_pass', 256);

4. 应用层的结果判断错误 #

有时候不是SQL的问题，是你在代码里判断查询结果时出错了！比如不管查询有没有返回数据，都直接返回true：

伪代码示例（错误判断）：

ResultSet rs = stmt.executeQuery(loginSql);
return true; // 不管rs有没有匹配行，直接返回true

// 正确的判断应该是检查结果集是否有数据
return rs.next(); // 只有当存在匹配的用户行时才返回true

如果以上都排查了还是有问题，建议把你的实际SQL语句（去掉敏感信息）和应用层判断代码贴出来，这样能更快定位问题！

内容的提问来源于stack exchange，提问作者BekiTheMe