使用关键词同时查询movies和series表时出现SQL错误求助

我帮你分析下这段代码里的几个关键问题，然后给出修复后的安全方案：

问题根源 #

1. UNION语法错误：你的WHERE子句只作用于第二个movies表的查询，series表的查询没有任何过滤条件，这不仅会返回series的全量数据，还会导致SQL语法逻辑错误，这是报错的核心原因。
2. 列名不一致：两个SELECT语句返回的列名不统一（title/pic vs mov_title/mov_pic），虽然UNION允许这种情况，但后续处理查询结果时会非常混乱。
3. SQL注入风险：直接将$_GET参数拼接到SQL语句中，哪怕用了htmlspecialchars也没用——htmlspecialchars是用来防止XSS攻击的，根本无法抵御SQL注入，这是严重的安全漏洞。

修复后的代码 #

// 先处理参数，避免未定义索引的警告
$query = $_GET['keyword'] ?? '';
// 拼接LIKE需要的通配符
$searchTerm = "%{$query}%";

// 准备预处理语句，给列统一别名，确保两个SELECT返回的结构一致
$stmt = $pdo->prepare("
    SELECT title, pic FROM series WHERE title LIKE ?
    UNION
    SELECT mov_title AS title, mov_pic AS pic FROM movies WHERE mov_title LIKE ?
");

// 绑定参数到预处理语句的占位符
$stmt->bindParam(1, $searchTerm, PDO::PARAM_STR);
$stmt->bindParam(2, $searchTerm, PDO::PARAM_STR);

// 执行查询并获取结果
$stmt->execute();
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);

关键修复点说明 #

• 修正UNION逻辑：给每个SELECT语句单独添加WHERE过滤条件，确保两张表都按照关键词筛选，而不是只筛选其中一张。
• 统一列别名：给movies表的列起别名title和pic，和series表的列名保持一致，后续遍历结果时可以统一使用$row['title']和$row['pic']。
• 彻底解决SQL注入：使用PDO的预处理语句（prepare+bindParam）代替直接拼接变量，这是PHP中防止SQL注入的标准做法，比任何字符转义都可靠。

额外优化建议 #

如果不需要自动去重（比如两张表可能存在同名内容，你想全部保留），可以用UNION ALL代替UNION，UNION ALL不需要执行去重操作，性能会更好。

内容的提问来源于stack exchange，提问作者koko chidori