Wie kann ich LIKE '%{Var}%' sicher mit vorbereiteten Anweisungen in SQL verwenden?

Vorbereitete Anweisungen mit LIKE '%{Var}%' effektiv nutzen

Beim Arbeiten mit bereinigten Benutzereingaben in SQL-Abfragen wird dies empfohlen um vorbereitete Anweisungen zu verwenden, um das Risiko von SQL-Injection-Angriffen zu mindern. Die Verwendung des LIKE-Musters „%{Var}%“ mit vorbereiteten Anweisungen kann jedoch zu Herausforderungen führen.

Falscher Ansatz:

Die folgende Syntax führt zu Fehlern:

$sql = 'SELECT * FROM `users` WHERE username LIKE \'%{?}%\' ';

$sql = 'SELECT * FROM `users` WHERE username LIKE %{?}% ';

Richtig Vorgehensweise:

Um LIKE '%{Var}%' mit vorbereiteten Anweisungen korrekt zu verwenden, befolgen Sie diese Schritte:

1. Erstellen Sie eine String-Variable, um das LIKE-Muster aufzunehmen:

$likeVar = "%" . $ yourParam . "%";

2. Bereiten Sie die Abfrage mit a vor Platzhalter:

$ stmt = $ mysqli -> prepare('SELECT * FROM REGISTRY WHERE name LIKE ?');

3. Binden Sie die LIKE-Variable an den Platzhalter:

$stmt -> bind_param('s', $likeVar);

4. Führen Sie die aus Abfrage:

$stmt -> execute();

Erklärung:

• $likeVar: Diese Variable enthält das LIKE-Muster mit dem vom Benutzer bereitgestellten Parameter als Präfix und Suffix Platzhalter.
• prepare() vs. query(): Prepare() erstellt ein Anweisungsobjekt, das mehrfach ausgeführt werden kann mal mit unterschiedlichen Parametern, während query() eine Abfrage direkt ausführt.
• bind_param(): Diese Methode verknüpft die vorbereiteten Anweisungsparameter mit ihren jeweiligen Variablenwerten. In diesem Fall ist der Platzhalter (?) an $likeVar gebunden.
• execute(): Sobald die Parameter gebunden sind, führtexecute() die Abfrage mit den angegebenen Parametern aus.

Wenn Sie diese Schritte befolgen, können Sie LIKE '%{Var}%' sicher in Ihren SQL-Abfragen verwenden und dabei die bewährten Sicherheitspraktiken einhalten.

Das obige ist der detaillierte Inhalt vonWie kann ich LIKE '%{Var}%' sicher mit vorbereiteten Anweisungen in SQL verwenden?. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!