MySQL全文搜索含撇号触发语法错误问题求助

嘿，这个问题我太熟了——你遇到的核心问题就是未转义的单引号（撇号）直接插入SQL语句，破坏了字符串的语法结构。当用户输入McDonald's时，你的SQL会变成AGAINST('McDonald's' IN BOOLEAN MODE)，这里第二个单引号会提前结束搜索字符串，剩下的s' IN BOOLEAN MODE)就成了完全无效的SQL语法，难怪会触发那个错误。

给你两个解决方案，优先推荐第一个，安全又省心：

• 用参数化查询（预处理语句）——这是最优解
  不管你用的是PDO、mysqli还是其他数据库驱动，参数化查询都会自动帮你处理字符串转义，同时还能彻底防范SQL注入，绝对是一举两得的做法。

  举个PDO的例子，适配你的代码片段：

  // $searchTerm 是用户输入的内容，比如 "McDonald's"
  $stmt = $pdo->prepare("
      SELECT *
      FROM client
      JOIN offer ON client.id = offer.client_id
      WHERE MATCH(client.clientName, client.clientDesc, offer.offerSaving, offer.offerDesc)
            AGAINST(? IN BOOLEAN MODE)
  ");
  $stmt->execute([$searchTerm]);
  $results = $stmt->fetchAll();
  

  这里用?作为占位符，PDO会自动处理所有需要转义的字符（包括单引号），完全不用你手动操心。

• 手动转义单引号（仅限临时过渡）
  如果因为项目限制暂时没法用参数化查询，那必须用数据库提供的转义函数来处理用户输入，绝对不能自己用str_replace这种简单替换（会有漏网之鱼）。

  比如用mysqli的话：

  $searchTermEscaped = mysqli_real_escape_string($conn, $searchTerm);
  $sql = "
      SELECT *
      FROM client
      JOIN offer ON client.id = offer.client_id
      WHERE MATCH(client.clientName, client.clientDesc, offer.offerSaving, offer.offerDesc)
            AGAINST('$searchTermEscaped' IN BOOLEAN MODE)
  ";
  $results = mysqli_query($conn, $sql);
  

  但要记住，手动转义只是权宜之计，参数化查询才是长久且安全的方案。

另外补充一句：如果你的全文搜索用到了布尔模式的特殊符号（比如+、-、*），参数化查询也能完美兼容，它只会转义影响SQL语法的字符，不会破坏全文搜索的规则。

内容的提问来源于stack exchange，提问作者Daniel Robinson