本文详解如何在php中通过graphql变量（variables）安全、灵活地构建动态查询，涵盖sdl变量声明、php端变量组装、curl请求封装及多值场景处理，避免字符串拼接风险，提升类型一致性与可维护性。
本文详解如何在php中通过graphql变量（variables）安全、灵活地构建动态查询，涵盖sdl变量声明、php端变量组装、curl请求封装及多值场景处理，避免字符串拼接风险，提升类型一致性与可维护性。
在PHP中调用GraphQL API时，硬编码查询参数（如 eq: 2）不仅难以维护，更易引发SQL注入类风险（尽管GraphQL本身不直连数据库，但服务端解析器若未严格校验，仍可能触发逻辑漏洞）。真正的动态化应依托GraphQL原生的变量机制（Variables）——它将查询结构（Query Document）与运行时数据分离，既保障类型安全，又支持复用与缓存。
✅ 正确做法：使用命名变量 + 参数化查询
首先，修改GraphQL查询语句，将字面量替换为带类型的变量声明。注意：变量名前需加 $，并在查询顶部显式声明其类型（遵循GraphQL SDL语法）：
query MainProducts($productTypes: [Int!]!) {
mainProducts(where: { productType: { eq: $productTypes } }) {
name
productID
}
}-
$productTypes: [Int!]!表示该变量为非空整数数组（[Int!]!），即：数组本身不可为空，且每个元素均为非空整数。此声明确保服务端能提前校验输入合法性。 - 即使只需传单个ID（如
2），也应统一传数组[2]—— 这样后端解析器无需分支判断，Schema更简洁，前端/PHP客户端逻辑更一致。
? PHP端变量组装与请求封装
在PHP中，将变量作为关联数组传递，由json_encode()自动序列化为标准JSON对象：
<?php
// 动态变量：支持单值或数组（统一处理为数组）
$productIds = is_array($input) ? $input : [$input]; // 例：$input = 2 → [2]；$input = [1,5,8] → 不变
$query = <<<'GQL'
query MainProducts($productTypes: [Int!]!) {
mainProducts(where: { productType: { eq: $productTypes } }) {
name
productID
}
}
GQL;
$variables = ['productTypes' => $productIds];
$jsonPayload = json_encode([
'query' => $query,
'variables' => $variables
]);
// cURL配置（精简版，移除冗余选项）
$ch = curl_init('https://whateverurlitis.com');
curl_setopt_array($ch, [
CURLOPT_RETURNTRANSFER => true,
CURLOPT_POST => true,
CURLOPT_POSTFIELDS => $jsonPayload,
CURLOPT_HTTPHEADER => [
'Content-Type: application/json',
'Authorization: Bearer ' . MYTOKEN
]
]);
$response = curl_exec($ch);
$httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
curl_close($ch);
if ($httpCode !== 200) {
throw new RuntimeException("GraphQL request failed: HTTP {$httpCode}");
}
$result = json_decode($response, true);
if (isset($result['errors'])) {
throw new RuntimeException('GraphQL errors: ' . json_encode($result['errors']));
}
echo json_encode($result['data'], JSON_PRETTY_PRINT);⚠️ 关键注意事项：
立即学习“PHP免费学习笔记（深入）”；
- 绝不拼接字符串：禁止用
sprintf()或str_replace()注入变量到查询字符串中，这会破坏GraphQL AST解析，且丧失类型校验。- 变量类型必须匹配：若后端Schema定义为
[Int!]!，则PHP中必须传array<int></int>，不能传字符串['2']或null，否则触发GraphQL验证错误。- 空数组处理：若业务允许“无筛选”，应明确约定空数组
[]语义，并在服务端Resolver中兼容（如忽略该条件），而非传null（违反!非空约束）。
? 扩展：支持多变量与嵌套条件
实际项目中常需组合多个动态条件。例如同时按类型、状态、关键词过滤：
query SearchProducts(
$types: [Int!]!
$statuses: [String!]!
$keyword: String
) {
mainProducts(
where: {
productType: { eq: $types }
status: { in: $statuses }
name: { containsInsensitive: $keyword }
}
) {
name
productID
status
}
}PHP端对应组装：
$variables = [
'types' => [2, 5],
'statuses' => ['active', 'pending'],
'keyword' => 'wireless'
];✅ 总结：动态GraphQL查询的最佳实践
| 项目 | 推荐方式 | 禁止方式 |
|---|---|---|
| 变量声明 | 在查询顶部用 query Name($var: Type!) 显式声明 |
在查询体中直接写 eq: 2
|
| PHP变量传递 | 关联数组 ['var' => value] → json_encode()
|
字符串拼接、eval()、htmlspecialchars()伪装 |
| 类型一致性 | 严格匹配Schema定义（如[Int!]! → PHP数组含整数） |
传字符串数组、null、浮点数 |
| 错误处理 | 检查HTTP状态码 + GraphQL errors 字段 |
仅依赖curl_error()或忽略响应结构 |
通过变量驱动的查询模式，PHP客户端不仅能安全应对复杂筛选逻辑，还能与GraphQL服务端形成强契约——前端改字段、后端改类型，均会在开发阶段暴露问题，大幅提升大型项目的协作效率与线上稳定性。
