mysql使用like查询避免sql助入

原创

mob64ca12d0e5a4 2024-02-20 04:35:28 ©著作权

©著作权归作者所有：来自51CTO博客作者mob64ca12d0e5a4的原创作品，请联系作者获取转载授权，否则将追究法律责任

如何实现“mysql使用like查询避免sql注入”

1. 整个过程流程

gantt
    title 实现"mysql使用like查询避免sql注入"流程
    dateFormat  YYYY-MM-DD
    section 整体流程
    学习 :done, a1, 2022-10-06, 1d
    编写代码 :done, a2, after a1, 2d
    测试 :done, a3, after a2, 1d
    部署 :done, a4, after a3, 1d

2. 具体步骤及代码

2.1 学习

首先，我们需要学习如何使用预处理语句来避免SQL注入。预处理语句可以将参数化查询和SQL语句分开，从而防止恶意用户输入SQL语句。

2.2 编写代码

在编写代码时，我们需要使用预处理语句来执行LIKE查询，以下是用于MySQL数据库的PHP代码示例：

```php
<?php

// 创建数据库连接
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDB";

$conn = new mysqli($servername, $username, $password, $dbname);

// 检查连接是否成功
if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
}

// 使用预处理语句执行LIKE查询
$stmt = $conn->prepare("SELECT * FROM users WHERE username LIKE ?");
$searchTerm = "%searchTerm%";
$stmt->bind_param("s", $searchTerm);
$stmt->execute();
$result = $stmt->get_result();

// 输出查询结果
while ($row = $result->fetch_assoc()) {
    echo "Username: " . $row["username"] . "<br>";
}

// 关闭连接
$stmt->close();
$conn->close();

?>

在上面的代码中，$searchTerm是我们想要搜索的关键词。我们将其放在%符号之间，这样就可以实现模糊搜索。然后我们使用bind_param方法将搜索关键词与预处理语句中的?绑定在一起，最后执行查询并输出结果。