如何用PHP和MySQL实现动态条件筛选查询？

嘿，这个问题我之前做客户管理系统时也踩过坑！你现在的写法会导致当用户只填了name时，phoneNumber和email变量是空值，拼进SQL里就会变成WHERE clientName=xxx && phoneNumber= && email=，这肯定查不到正确结果，而且还存在严重的SQL注入风险，得赶紧调整。

下面是安全又灵活的解决方案：

步骤1：收集有效筛选条件（带参数绑定） #

我们用数组来存放有效的查询条件，同时用预处理语句的占位符来彻底避免注入问题：

// 初始化条件数组和参数绑定数组
$conditions = [];
$params = [];

// 处理name筛选条件（加trim避免用户只输入空格）
if (!empty(trim($_POST['name']))) {
    $conditions[] = 'clientName = ?';
    $params[] = trim($_POST['name']);
}

// 处理手机号筛选条件
if (!empty(trim($_POST['phoneNumber']))) {
    $conditions[] = 'phoneNumber = ?';
    $params[] = trim($_POST['phoneNumber']);
}

// 处理邮箱筛选条件
if (!empty(trim($_POST['email']))) {
    $conditions[] = 'email = ?';
    $params[] = trim($_POST['email']);
}

步骤2：动态拼接SQL语句 #

根据是否有有效条件，来决定要不要拼接WHERE子句：

// 基础查询语句
$sql = 'SELECT * FROM clients';

// 如果有筛选条件，拼接WHERE子句
if (!empty($conditions)) {
    $sql .= ' WHERE ' . implode(' AND ', $conditions);
}

这样当用户只填name时，SQL会自动变成SELECT * FROM clients WHERE clientName = ?，完全不会包含其他未填写的字段条件。

步骤3：执行预处理查询（以PDO为例） #

这里用PDO来执行查询（如果你用mysqli，写法类似，核心都是用预处理机制）：

// 假设你已经建立了PDO数据库连接（替换成你的数据库信息）
$pdo = new PDO('mysql:host=localhost;dbname=your_database;charset=utf8mb4', 'your_username', 'your_password');

// 预处理SQL语句
$stmt = $pdo->prepare($sql);
// 绑定参数并执行查询
$stmt->execute($params);

// 获取筛选后的结果集
$filteredClients = $stmt->fetchAll(PDO::FETCH_ASSOC);

额外提醒 #

• 绝对不要直接把POST变量拼进SQL！你原来的写法很容易被黑客用SQL注入攻击，比如用户输入name' OR 1=1 --，会直接返回所有数据甚至篡改数据库。
• 如果不想让用户什么都不填时返回全量数据，可以加个判断：if (empty($conditions)) { /* 这里返回提示或限制结果 */ }

内容的提问来源于stack exchange，提问作者JohnDickinson