多字段高级搜索功能异常求助：排查PHP查询逻辑问题

我来帮你搞定这个搜索功能的bug，你的需求逻辑很清晰：填一个字段就单搜，填多个就组合搜，但当前代码的问题主要出在空值判断缺失、SQL逻辑错误，还存在严重的安全风险，我一步步给你拆解修复：

原代码的核心问题 #

• 只判断了变量isset()，但没检查是否为空字符串：比如用户没填city，$country会是空字符串，这时LIKE '%$country%'就变成LIKE '%%'，会匹配所有记录，导致不管什么搜索条件都返回全部结果。
• 用OR连接条件：就算有一个条件是匹配所有的（比如空字段的LIKE '%%'），整个SQL就会返回所有数据，完全不符合组合搜索的需求。
• 直接拼接用户输入到SQL：存在SQL注入漏洞，这是非常危险的操作，可能导致数据库被攻击。

修复后的完整代码（基于PDO，安全且符合需求） #

// 1. 处理输入：过滤空值，统一变量命名（原代码$country对应city参数，建议修正命名）
$sports = !empty(trim($_REQUEST['sports'])) ? trim($_REQUEST['sports']) : null;
$city = !empty(trim($_REQUEST['city'])) ? trim($_REQUEST['city']) : null;
$code = !empty(trim($_REQUEST['code'])) ? trim($_REQUEST['code']) : null;

// 2. 动态构建搜索条件和参数（只保留非空字段的条件）
$conditions = [];
$params = [];

if ($sports !== null) {
    $conditions[] = "sports LIKE ?";
    $params[] = "%{$sports}%";
}
if ($city !== null) {
    $conditions[] = "city LIKE ?";
    $params[] = "%{$city}%";
}
if ($code !== null) {
    $conditions[] = "code LIKE ?";
    $params[] = "%{$code}%";
}

// 3. 执行查询
$results = [];
if (!empty($conditions)) {
    // 使用PDO预处理语句，彻底避免SQL注入
    $pdo = new PDO('mysql:host=你的主机;dbname=你的数据库;charset=utf8mb4', '用户名', '密码');
    $query = "SELECT * FROM event WHERE " . implode(" AND ", $conditions);
    $stmt = $pdo->prepare($query);
    $stmt->execute($params);
    $results = $stmt->fetchAll(PDO::FETCH_ASSOC);
} else {
    // 没有填写任何字段的情况，返回空结果或提示用户
    echo "请至少填写一个搜索字段";
}

// 输出结果示例
print_r($results);

关键修复点说明 #

• 严格的空值过滤：用!empty(trim())确保只有用户实际输入了有效内容的字段才会加入搜索条件，避免空字符串导致的全匹配问题。
• 正确的逻辑组合：用AND连接多个条件，这样多个字段填写时，只有同时满足所有条件的记录才会被返回，完全符合你的组合搜索需求。
• SQL注入防护：使用PDO预处理语句，把用户输入作为参数传递，绝对不直接拼接进SQL，这是处理用户输入的标准安全做法。
• 变量命名修正：把原代码里$country = $_REQUEST['city']改成$city = $_REQUEST['city']，避免命名混淆导致后续维护出错。

内容的提问来源于stack exchange，提问作者Ansh