优化PHP与SQL数据库搜索：处理空格与提升安全性

夜伟小哥_1191

发布时间：2025-11-15 13:17:23

410人浏览过

来源于php中文网

原创

优化PHP与SQL数据库搜索：处理空格与提升安全性

本文旨在解决php与sql数据库搜索中无法正确处理包含空格的关键词问题，并着重强调sql注入的安全风险及其防范措施。我们将探讨如何通过php的字符串处理功能结合sql的`like`操作实现多词搜索，并提供使用预处理语句来构建安全、健壮数据库查询的实践指南，同时简要介绍高级搜索解决方案。

在开发基于PHP与MySQL的Web应用时，实现高效且安全的数据库搜索功能是常见的需求。然而，当搜索关键词包含空格时，传统的CONCAT_WS结合单个LIKE子句的方法往往无法达到预期效果。例如，搜索“test 2”时，系统可能无法返回包含“test”和“2”但分布在不同字段或有空格间隔的结果。更重要的是，在构建SQL查询时直接拼接用户输入，会带来严重的SQL注入安全漏洞。本教程将详细阐述如何解决这些问题，并提供最佳实践。

理解当前搜索机制的局限性

原始代码中，搜索查询使用了CONCAT_WS函数将多个字段连接成一个字符串，然后使用LIKE '%".$valueToSearch."%'进行模糊匹配。

$query = "SELECT * FROM `master` WHERE CONCAT_WS(`id`, `office`, `firstName`, `lastName`, `type`, `status`, `deadline`, `contactPref`, `email`, `phoneNumber`, `taxPro`) LIKE '%".$valueToSearch."%'";

这种方法的问题在于：

空格处理不当： 当$valueToSearch为“test 2”时，CONCAT_WS会将所有字段连接起来，例如'1OfficeTestLastName...'。此时，LIKE '%test 2%'将只匹配那些连接后字符串中包含“test 2”这个完整子串的记录。如果“test”在一个字段，“2”在另一个字段，或者它们之间有其他字符分隔，则无法匹配。
SQL注入风险： 最严重的问题是，$valueToSearch直接通过字符串拼接的方式嵌入到SQL查询中。恶意用户可以输入特定的字符串（如' OR 1=1 --），从而改变查询的逻辑，获取未授权的数据，甚至执行破坏性操作。

解决方案一：基于PHP与SQL的多词搜索

为了正确处理包含空格的搜索关键词，我们可以将用户输入的搜索字符串拆分成多个独立的词，然后为每个词构建一个LIKE条件，并使用OR逻辑将它们组合起来。

立即学习“PHP免费学习笔记（深入）”；

核心思路

拆分关键词： 使用PHP的explode()函数，以空格作为分隔符，将用户输入的搜索字符串拆分成一个词语数组。
构建动态SQL： 遍历这个词语数组，为每个词语生成一个LIKE子句。
组合条件： 将所有生成的LIKE子句通过OR操作符连接起来，形成最终的WHERE条件。

示例代码（初步改进，但仍有安全风险）

<?php

// function to connect and execute the query
function filterTable($query)
{
    // 请替换为您的数据库连接信息
    $connect = mysqli_connect("localhost", "username", "password", "database_name");
    if (!$connect) {
        die("Connection failed: " . mysqli_connect_error());
    }
    $filter_Result = mysqli_query($connect, $query);
    if (!$filter_Result) {
        // 错误处理
        echo "Error: " . mysqli_error($connect);
        return false;
    }
    return $filter_Result;
}

$search_result = null;

if(isset($_POST['search']))
{
    $valueToSearch = $_POST['valueToSearch'];

    // 1. 拆分关键词
    $searchTerms = explode(' ', $valueToSearch);

    // 2. 构建动态SQL查询的WHERE子句部分
    $whereClauses = [];
    $searchableColumns = ['id', 'office', 'firstName', 'lastName', 'type', 'status', 'deadline', 'contactPref', 'email', 'phoneNumber', 'taxPro'];

    foreach ($searchTerms as $term) {
        $term = trim($term); // 清除词语两端的空白
        if (!empty($term)) {
            $likeConditionsForTerm = [];
            foreach ($searchableColumns as $column) {
                // 注意：这里仍然是字符串拼接，存在SQL注入风险，下一步将解决
                $likeConditionsForTerm[] = "`" . $column . "` LIKE '%" . $term . "%'";
            }
            // 每个词语在任一可搜索列中匹配即可
            $whereClauses[] = "(" . implode(" OR ", $likeConditionsForTerm) . ")";
        }
    }

    $query = "SELECT * FROM `master`";
    if (!empty($whereClauses)) {
        // 所有词语的条件通过 AND 连接，表示所有词语都必须匹配
        // 如果希望任一词语匹配即可，这里使用 OR
        $query .= " WHERE " . implode(" AND ", $whereClauses); 
        // 示例：如果希望任一词语在任一列匹配，可以这样组织：
        // $query .= " WHERE " . implode(" OR ", $whereClauses); 
    }

    $search_result = filterTable($query);

} else {
    $query = "SELECT * FROM `master`";
    $search_result = filterTable($query);
}

?>

<!-- HTML 部分与原代码相同，此处省略 -->

性能考量： 这种方法对于小型到中型数据集是可行的。但当数据量非常大，或者搜索关键词非常多时，生成的SQL查询可能会非常长，并且包含大量的LIKE操作，这会显著降低查询性能。

重要安全提示：防范SQL注入

上述示例代码虽然解决了空格搜索的问题，但仍然沿用了直接拼接用户输入到SQL查询中的方式，这构成了严重的SQL注入风险。为了构建安全的数据库应用，我们必须使用预处理语句（Prepared Statements）。

word报告自动生成神器

Word报告自动生成神器。自动生成专业Word文档报告，支持模板填充、目录生成、表格/图表插入、页眉页脚、多级标题、样式主题、批量邮件合并。当用户需要生成Word报告、创建合同文档、批量生成通知/证书、填充Word模板、制作商业计划书时触发。

下载

预处理语句的工作原理是，先将SQL查询模板发送到数据库服务器，数据库服务器会预编译这个模板。然后，再将用户输入的数据作为参数绑定到这个预编译的模板中。这样，数据库服务器能够区分SQL代码和用户数据，从而有效防止SQL注入。

使用MySQLi预处理语句

以下是使用mysqli扩展实现预处理语句的示例：

<?php

// function to connect and execute the query safely
function filterTableSafely($searchTerms = [])
{
    // 请替换为您的数据库连接信息
    $connect = mysqli_connect("localhost", "username", "password", "database_name");
    if (!$connect) {
        die("Connection failed: " . mysqli_connect_error());
    }

    $searchableColumns = ['id', 'office', 'firstName', 'lastName', 'type', 'status', 'deadline', 'contactPref', 'email', 'phoneNumber', 'taxPro'];

    $query = "SELECT * FROM `master`";
    $types = ""; // 用于mysqli_stmt_bind_param的参数类型字符串
    $params = []; // 用于mysqli_stmt_bind_param的参数数组
    $whereClauses = [];

    if (!empty($searchTerms)) {
        foreach ($searchTerms as $term) {
            $term = trim($term);
            if (!empty($term)) {
                $likeConditionsForTerm = [];
                foreach ($searchableColumns as $column) {
                    $likeConditionsForTerm[] = "`" . $column . "` LIKE ?";
                    $params[] = '%' . $term . '%'; // 将 '%' 与 term 拼接后作为参数
                    $types .= 's'; // 's' 表示字符串类型
                }
                $whereClauses[] = "(" . implode(" OR ", $likeConditionsForTerm) . ")";
            }
        }
    }

    if (!empty($whereClauses)) {
        // 所有词语的条件通过 AND 连接，表示所有词语都必须匹配
        $query .= " WHERE " . implode(" AND ", $whereClauses);
    }

    // 准备语句
    $stmt = mysqli_prepare($connect, $query);
    if (!$stmt) {
        echo "Error preparing statement: " . mysqli_error($connect);
        mysqli_close($connect);
        return false;
    }

    // 绑定参数
    // mysqli_stmt_bind_param 需要引用传递，所以需要动态创建参数数组
    if (!empty($params)) {
        // 使用call_user_func_array来处理动态数量的参数绑定
        $bind_names[] = $types;
        for ($i = 0; $i < count($params); $i++) {
            $bind_name = 'bind' . $i;
            $$bind_name = $params[$i]; // 创建变量并赋值
            $bind_names[] = &$$bind_name; // 将变量的引用添加到绑定数组
        }
        call_user_func_array([$stmt, 'bind_param'], $bind_names);
    }

    // 执行语句
    mysqli_stmt_execute($stmt);

    // 获取结果
    $result = mysqli_stmt_get_result($stmt);

    // 关闭语句
    mysqli_stmt_close($stmt);
    mysqli_close($connect);

    return $result;
}

$search_result = null;

if(isset($_POST['search']))
{
    $valueToSearch = $_POST['valueToSearch'];
    $searchTerms = explode(' ', $valueToSearch);
    $search_result = filterTableSafely($searchTerms);
} else {
    // 默认显示所有数据
    $search_result = filterTableSafely([]);
}

?>

<!DOCTYPE html>
<html>
    <head>
        <title>PHP HTML TABLE DATA SEARCH</title>
        <style>
            table,tr,th,td
            {
                border: 1px solid black;
            }
        </style>
    </head>
    <body>

        <form action="Untitled-1.php" method="post">
            <input type="text" name="valueToSearch" placeholder="Value To Search"><br><br>
            <input type="submit" name="search" value="Filter"><br><br>

            <table>
                <tr>
                    <th>ID</th>
                    <th>Office</th>
                    <th>First Name</th>
                    <th>Last Name</th>
                    <th>Type</th>
                    <th>Status</th>
                    <th>Deadline</th>
                    <th>Contact Preference</th>
                    <th>Email</th>
                    <th>Phone Number</th>
                    <th>Tax Pro</th>
                </tr>

                <?php 
                if ($search_result) { // 检查查询是否成功
                    while($row = mysqli_fetch_array($search_result)):?>
                    <tr>
                        <td><?php echo htmlspecialchars($row['id']);?></td>
                        <td><?php echo htmlspecialchars($row['office']);?></td>
                        <td><?php echo htmlspecialchars($row['firstName']);?></td>
                        <td><?php echo htmlspecialchars($row['lastName']);?></td>
                        <td><?php echo htmlspecialchars($row['type']);?></td>
                        <td><?php echo htmlspecialchars($row['status']);?></td>
                        <td><?php echo htmlspecialchars($row['deadline']);?></td>
                        <td><?php echo htmlspecialchars($row['contactPref']);?></td>
                        <td><?php echo htmlspecialchars($row['email']);?></td>
                        <td><?php echo htmlspecialchars($row['phoneNumber']);?></td>
                        <td><?php echo htmlspecialchars($row['taxPro']);?></td>
                    </tr>
                    <?php endwhile;
                } else {
                    echo "<tr><td colspan='11'>No results found or an error occurred.</td></tr>";
                }
                ?>
            </table>
        </form>

    </body>
</html>

代码改进说明：

filterTableSafely函数现在接受一个$searchTerms数组作为参数，而不是直接的SQL查询字符串。
它负责构建SQL查询的模板，并在其中使用?作为参数占位符。
mysqli_prepare()用于准备SQL语句。
mysqli_stmt_bind_param()用于绑定参数。注意，由于参数数量是动态的，这里使用call_user_func_array来动态绑定。
mysqli_stmt_execute()执行预处理语句。
mysqli_stmt_get_result()获取结果集。
在HTML输出时，使用htmlspecialchars()函数对从数据库中取出的数据进行转义，防止跨站脚本（XSS）攻击。

高级搜索方案：考虑全文搜索引擎

对于需要更强大、更灵活、更高效的全文搜索功能的场景（例如，需要支持近义词搜索、相关性排序、高亮显示等），数据库内置的LIKE操作或简单的多词OR查询可能无法满足需求。此时，可以考虑集成专门的全文搜索引擎，如：

Elasticsearch： 一个基于Lucene的分布式、RESTful风格的搜索和分析引擎，非常适合处理大规模的文本数据，提供强大的全文搜索能力和高可用性。
Apache Solr： 同样基于Lucene，是一个开源的企业级搜索平台，功能与Elasticsearch类似，但通常需要更复杂的配置。
MySQL Full-Text Search： MySQL自身也提供全文搜索功能，但相比专门的搜索引擎，其功能和性能仍有一定限制。

这些工具能够提供更智能的搜索体验，例如处理词形变化、提供搜索建议、实现更复杂的查询逻辑等。

总结与最佳实践

本教程详细介绍了如何在PHP与SQL中实现对包含空格关键词的搜索，并着重强调了数据库应用开发中的两大核心最佳实践：

处理复杂搜索逻辑： 对于包含空格的搜索关键词，通过PHP的字符串处理（如explode）将其拆分成多个词，然后构建动态的SQL WHERE子句，使用OR或AND逻辑结合多个LIKE条件，能够有效提升搜索的准确性。
防范SQL注入： 始终使用预处理语句（Prepared Statements）来执行数据库查询。这是防止SQL注入攻击最有效且最推荐的方法。通过参数绑定，将SQL代码与用户数据严格分离，确保数据库操作的安全性。此外，在将数据库数据显示到网页上时，使用htmlspecialchars()进行输出转义，以防范XSS攻击。

在实际项目中，请务必根据数据规模和搜索需求的复杂程度，选择合适的搜索方案。对于大规模、高并发或需要高级搜索功能的场景，考虑集成专业的全文搜索引擎将是更优的选择。

如何在同一台电脑上同时运行 XAMPP 和 WAMP 服务器

ThinkPHP批量添加数据一次最多能插多少条

ThinkPHP事务里能混用saveAll和insertAll吗

CodeIgniter怎么设置数据库字符集charset为utf8mb4

CodeIgniter数据库连接超时时间怎么设置