PHP中SQL无法识别$customerID变量，疑为括号引发的问题

AI 小北

2026-5-27

问题分析与解决方案

这个问题我之前也碰到过，核心原因是你直接把变量嵌入SQL字符串的写法，既导致了编辑器的语法识别歧义，又埋下了SQL注入的大隐患。咱们一步步来拆解解决：

为什么会出现变量识别异常？

当你在嵌套括号的SQL字符串里直接拼接$customerID时，部分编辑器的语法解析器会因为括号嵌套+字符串边界的组合，误判变量的范围，导致无法正确高亮识别$customerID。而你移除前半部分括号后，字符串结构变简单，编辑器能正常识别变量，但此时SQL的条件逻辑被破坏，自然无法正确执行。

但更严重的是：直接拼接变量到SQL里是高危操作，会让你的代码暴露在SQL注入攻击下，这才是需要优先解决的问题。

正确的解决方案：使用预处理语句+参数绑定

完全规避变量识别问题，同时彻底解决SQL注入风险，代码应该改成这样：

$customerID = $_SESSION['ID'];
// 使用?作为占位符，替代直接拼接变量
$query = $conn->prepare(
    "SELECT * FROM quiz_list 
     WHERE ((status = 1 AND shared = 1) OR customer = ?) 
       AND friendly LIKE ? 
     ORDER BY id LIMIT 25;"
);
// 处理LIKE的通配符，单独拼接成参数
$searchPattern = "%{$searchValue}%";
// 绑定参数："ss"表示两个参数都是字符串类型，依次对应两个?
$query->bind_param("ss", $customerID, $searchPattern);
$query->execute();