Question

如果参数在查询中多次出现，如何绑定我的参数？

$STH = $DBH->prepare("SELECT * FROM $table WHERE firstname LIKE :string OR lastname LIKE :string");

$STH->bindValue(':string', '%'.$string.'%', PDO::PARAM_STR);
$result = $STH->execute();

Answer 1

您为prepare语句提到了两个参数（具有相同的名称），但是您只为第一个参数提供了一个值（这就是错误的内容）。

不太确定PDO如何在内部解决同一参数名称问题，但您始终可以避免这种情况。

两种可能的解决方案：

$sql = "select * from $table ".
       "where "
       "first_name like concat('%', :fname, '%') or ".
       "last_name  like concat('%', :lname, '%')";
$stmt= $DBH->prepare($sql);
$stmt->bindValue(':fname', $string, PDO::PARAM_STR);
$stmt->bindValue(':lname', $string, PDO::PARAM_STR);

$sql = "select * from $table ".
       "where "
       "first_name like concat('%', ?, '%') or ".
       "last_name  like concat('%', ?, '%')";
$stmt= $DBH->prepare($sql);
$stmt->bindValue(1, $string, PDO::PARAM_STR);
$stmt->bindValue(2, $string, PDO::PARAM_STR);

顺便说一下，你现有的方法仍然存在SQL注入问题。

PDO：当用相同的值替换多个参数时，“无效的参数号”

1 个答案: