本文介绍如何根据用户提交的表单数据（如性别、婚姻状况等）动态拼接 where 条件，安全、灵活地构建 sql 查询，避免硬编码和 sql 注入风险。
本文介绍如何根据用户提交的表单数据（如性别、婚姻状况等）动态拼接 where 条件，安全、灵活地构建 sql 查询，避免硬编码和 sql 注入风险。
在实际 Web 开发中，搜索或筛选功能常需支持「可选字段」——用户可能只填了 sex，也可能同时填了 sex 和 civil_status，甚至更多字段（如 age_range、department）。若为每种组合都写一条固定 SQL，将导致代码冗余、难以维护，且极易引入 SQL 注入漏洞。
✅ 正确做法是：初始化基础查询语句，按需追加 WHERE 子句与条件参数，并始终使用参数化查询（预处理）。
以下是一个安全、可扩展的实现方案（以原生 PDO 或类 CodeIgniter/Laravel DB 封装为例）：
// 假设 $data 来自 $_POST 或请求体，已做过基础过滤（如 trim、isset 检查）
$query = "SELECT * FROM tbl_emp_information";
$conditions = [];
$params = [];
// 动态添加条件（仅当值存在且非空时）
if (!empty($data['sex'])) {
$conditions[] = "sex = ?";
$params[] = $data['sex'];
}
if (!empty($data['civil_status'])) {
$conditions[] = "civil_status = ?";
$params[] = $data['civil_status'];
}
if (!empty($data['department'])) {
$conditions[] = "department = ?";
$params[] = $data['department'];
}
// 拼接 WHERE 子句
if (!empty($conditions)) {
$query .= " WHERE " . implode(' AND ', $conditions);
}
// 使用参数化执行（示例基于 PDO 风格；若用 CodeIgniter，可用 $this->db->query($query, $params)）
$stmt = $this->db->prepare($query);
$stmt->execute($params);
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);
echo json_encode($result);? 关键要点说明：
立即学习“PHP免费学习笔记（深入）”；
- ✅ 绝不直接拼接用户输入到 SQL 字符串中（如原问题中
$sex = $data['sex']; ... WHERE sex = $sex是严重漏洞）； - ✅ 使用
?占位符 + 参数数组，由数据库驱动自动转义，彻底防止 SQL 注入； - ✅ 通过
!empty()判断字段有效性，支持任意组合的条件组合； - ✅ 条件逻辑清晰分离，易于新增字段（如加
if (!empty($data['salary_min'])) { ... }即可）； - ✅ 若使用 Laravel，推荐直接采用 Eloquent 的链式查询：
$query = Employee::query(); if ($request->sex) $query->where('sex', $request->sex); if ($request->civil_status) $query->where('civil_status', $request->civil_status); return response()->json($query->get());
⚠️ 注意事项：
- 避免对空字符串、
"0"、false等“假值”做简单isset()判断，应结合业务语义使用!empty()或明确校验； - 如需支持范围查询（如
age BETWEEN ? AND ?）、模糊匹配（LIKE ?），同样遵循参数化原则扩展条件数组； - 生产环境务必启用数据库错误屏蔽，避免敏感信息泄露。
动态构建查询不是“拼字符串”的技巧，而是结构化、安全化、可维护的数据访问实践。从今天起，让每一行 SQL 都经得起审计。
