当查询条件变量为空时，应跳过该条件以返回所有匹配记录；若变量有值，则执行精确匹配。本文介绍安全构建动态 sql 查询的方法，并强调使用预处理语句防范 sql 注入。
当查询条件变量为空时，应跳过该条件以返回所有匹配记录；若变量有值，则执行精确匹配。本文介绍安全构建动态 sql 查询的方法，并强调使用预处理语句防范 sql 注入。
在 PHP 中操作 MySQL 时，常需根据用户输入（如筛选下拉框、搜索字段）动态构造 WHERE 条件。一个典型场景是：$frame_type 变量可能为空字符串（表示“不限”），此时应忽略 frame_type = ? 条件，仅保留 status = '1'；而当它非空时，才追加精确匹配条件。
直接拼接空字符串会导致查询变为 frame_type = ''，这通常不匹配任何有效数据（除非数据库中确实存在空值记录），因此返回零行——这正是原代码的问题根源。
✅ 正确做法是条件性拼接 SQL，而非硬编码空值比较：
$frame_type = ''; // 或来自 $_GET['frame_type'] 等
$query = "SELECT * FROM products WHERE status = '1'";
if (!empty($frame_type)) {
$query .= " AND frame_type = ?";
}
$stmt = mysqli_prepare($con, $query);
if ($stmt) {
if (!empty($frame_type)) {
mysqli_stmt_bind_param($stmt, "s", $frame_type);
}
mysqli_stmt_execute($stmt);
$result = mysqli_stmt_get_result($stmt);
$emparray = [];
while ($row = mysqli_fetch_assoc($result)) {
$emparray[] = $row;
}
mysqli_stmt_close($stmt);
} else {
die("Prepare failed: " . mysqli_error($con));
}? 关键要点：
立即学习“PHP免费学习笔记（深入）”；
- 使用
!empty($frame_type)判断（比strlen()更语义清晰，且能同时排除null、false、0字符串等）； -
必须使用预处理语句（Prepared Statements）：避免 SQL 注入风险（例如
$frame_type = "'; DROP TABLE products; --"）； -
mysqli_stmt_bind_param()仅在变量非空时调用，确保参数数量与占位符一致； - 推荐使用
mysqli_fetch_assoc()替代mysqli_fetch_array()，返回关联数组更易读、更安全。
⚠️ 注意事项：
- 不要使用
== ''或=== ''判断，因null或未定义变量会引发警告；empty()是最稳妥的选择； - 若需支持
NULL值筛选（如frame_type IS NULL），需单独判断并拼接对应条件； - 生产环境务必开启错误报告并做异常处理，不可裸露数据库错误信息。
通过动态构建 SQL 并结合预处理机制，既能灵活满足业务筛选需求，又能保障应用安全性与健壮性。
