PDO查询MySQL时含撇号的名称处理问题求助

你遇到的问题核心是直接将变量拼接进SQL语句导致的：当名称里有撇号（比如D'Angelo）时，会破坏SQL的语法结构——原语句会变成SELECT * from position WHERE spieler='D'Angelo'，中间的撇号会提前闭合字符串，引发SQL语法错误，同时这种写法还存在严重的SQL注入风险。

正确的解决方案是使用PDO的预准备语句（Prepared Statements），它会自动处理特殊字符的转义，同时从根源上避免SQL注入。以下是修改后的可用代码：

try {
    $dbh = new PDO("mysql:host=$host;dbname=$dbname", $config['DB_USERNAME'], $config['DB_PASSWORD']);
    // 开启PDO异常错误模式，方便调试定位问题
    $dbh->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    
    // 1. 准备带命名占位符的SQL语句
    $stmt = $dbh->prepare("SELECT * from position WHERE spieler = :playername");
    // 2. 绑定参数并执行查询
    $stmt->execute([':playername' => $playername]);
    
    // 3. 遍历获取查询结果
    foreach($stmt->fetchAll() as $row) {
        echo '<td>' . $row['pos'] . '</td></tr>';
    }
    
    $dbh = null;
} catch (PDOException $e) {
    print "Error!: " . $e->getMessage() . "<br>";
}

关键细节说明： #

• 用:playername这种命名占位符代替直接拼接变量，也可以用?作为匿名占位符（执行时传入的数组顺序要和占位符位置对应）
• prepare()方法预编译SQL语句，execute()时传入参数，PDO会自动处理撇号等特殊字符的转义，无需手动操作
• 开启ERRMODE_EXCEPTION可以让PDO在出错时抛出明确的异常信息，比默认的静默模式更容易排查问题

避坑提醒： #

• 不要手动使用addslashes()或mysql_real_escape_string()这类方法转义字符，预处理语句是更安全可靠的方案
• 永远避免直接将用户可控的变量拼接进SQL语句，这是SQL注入攻击的高发场景

内容的提问来源于stack exchange，提问作者Chris