1. 问题背景：哈希标签搜索的挑战
在开发涉及哈希标签（如#nba）的搜索功能时，常见的做法是使用like操作符进行模糊匹配，例如 where data like "%#nba%"。然而，这种方法往往会导致搜索结果过于宽泛，例如搜索#nba可能会返回#nba、#nba2021、#nbascoreboard等所有包含#nba的记录。用户通常期望精确匹配的标签（如#nba）能优先显示，或者只显示精确匹配的结果。本教程将介绍如何实现这种精确控制，并强调在实际应用中至关重要的安全措施。
2. 初始搜索方法及其局限性
考虑以下一个简单的PHP/MySQL搜索示例：
上述代码虽然能实现基本的模糊搜索，但它存在两个主要问题：
- 结果优先级： LIKE "%#tag%" 会将所有包含#tag的记录视为同等优先级，无法区分精确匹配#tag和部分匹配#tag2021。
- SQL注入风险： 直接将用户输入 $fulltag 拼接到SQL查询字符串中，极易遭受SQL注入攻击。
3. 实现精确匹配优先的策略
为了解决结果优先级的问题，我们可以采用两种主要策略：双查询策略或单查询优化策略。
3.1 策略一：双查询方法（Two-Query Strategy）
最直接的方法是执行两次查询：第一次查询尝试精确匹配，如果找到结果则返回；如果未找到，则执行第二次模糊匹配查询。
优点： 逻辑简单，易于理解和实现。 缺点： 可能会导致两次数据库往返（round trip），增加延迟。
3.2 策略二：单查询优化——使用 CASE 表达式
为了减少数据库往返次数并提高效率，我们可以在单次查询中实现精确匹配优先。这可以通过在SELECT语句中使用CASE表达式来判断是否为精确匹配，并根据此判断结果进行排序。
SELECT *
FROM (
SELECT
data,
CASE
WHEN data = "#NBA" THEN 1 -- 如果是精确匹配，则标记为1
ELSE 0 -- 否则标记为0
END AS is_exact -- 定义一个别名is_exact
FROM status
WHERE data LIKE "%#NBA%" -- 先进行模糊匹配，获取所有相关结果
LIMIT 12
) AS matches
ORDER BY is_exact DESC, data ASC; -- 优先显示精确匹配（is_exact=1），然后按数据排序解释：
- 内层查询： FROM status WHERE data LIKE "%#NBA%" 会首先筛选出所有包含#NBA的记录。
- CASE表达式： CASE WHEN data = "#NBA" THEN 1 ELSE 0 END AS is_exact 为每条记录添加一个is_exact列。如果data字段与"#NBA"完全匹配，则is_exact为1；否则为0。
- 外层查询与排序： ORDER BY is_exact DESC 会确保is_exact为1（即精确匹配）的记录排在is_exact为0的记录之前。如果有多条精确匹配或模糊匹配的记录，可以添加第二个排序条件（如data ASC）来进一步确定它们的顺序。
这种方法允许在一次数据库查询中同时处理精确和模糊匹配，并能根据需求调整结果的优先级。
4. 关键安全实践：防范SQL注入
无论采用哪种搜索策略，最关键的步骤是防范SQL注入。直接将用户输入拼接到SQL查询字符串中是非常危险的。推荐使用参数化预处理语句（Prepared Statements），无论是PDO还是MySQLi扩展都提供了此功能。
4.1 使用PDO进行安全查询
以下是如何使用PDO实现上述单查询优化策略，并安全地处理用户输入的示例：
PDO::ERRMODE_EXCEPTION, // 错误模式：抛出异常
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC, // 默认获取关联数组
]);
} catch (PDOException $e) {
die("数据库连接失败: " . $e->getMessage());
}
$sql = '
SELECT *
FROM (
SELECT
data,
CASE
WHEN data = CONCAT("#", :tag1) -- 使用CONCAT和参数化处理精确匹配
THEN 1
ELSE 0
END AS is_exact
FROM status
WHERE data LIKE CONCAT("%#", :tag2, "%") -- 使用CONCAT和参数化处理模糊匹配
LIMIT 12
) AS matches
ORDER BY is_exact DESC, data ASC
';
$stmt = $pdo->prepare($sql);
$stmt->execute([
':tag1' => $fulltag, // 绑定精确匹配的参数
':tag2' => $fulltag, // 绑定模糊匹配的参数
]);
$results = $stmt->fetchAll();
foreach ($results as $row) {
echo $row['data'] . " (精确度: " . $row['is_exact'] . ")\n";
}
?>注意事项：
- CONCAT函数： 在LIKE或=条件中，如果需要动态添加通配符或前缀，应使用CONCAT()函数结合占位符（如:tag2）。这样可以确保用户输入作为完整字符串被绑定，而不是作为SQL语句的一部分被解析。
- 多个占位符： 即使是同一个变量，在SQL语句中出现多次时，也需要为每个出现的位置使用不同的命名占位符（如:tag1和:tag2），并在execute方法中分别绑定。
- 错误处理： 生产环境中，应捕获PDOException并进行适当的错误日志记录，而不是直接die()。
4.2 简化模糊查询的PDO实现
如果您的需求只是简单的模糊查询，同样应使用PDO进行安全处理：
PDO::ERRMODE_EXCEPTION,
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
]);
} catch (PDOException $e) {
die("数据库连接失败: " . $e->getMessage());
}
$sql = 'SELECT * FROM status WHERE data LIKE CONCAT("%#", :fullTag, "%") LIMIT 12';
$stmt = $pdo->prepare($sql);
$stmt->execute([':fullTag' => $fulltag]);
$results = $stmt->fetchAll();
foreach ($results as $row) {
echo $row['data'] . "\n";
}
?>5. 总结
在MySQL中实现哈希标签的精确与模糊搜索，并确保结果优先级，可以通过CASE表达式结合ORDER BY在单次查询中完成。更重要的是，在处理任何用户输入时，务必使用参数化预处理语句（如PDO或MySQLi的预处理语句）来防范SQL注入攻击，保障应用程序的安全性。清理用户输入（例如通过preg_replace）是第一道防线，但参数化查询才是抵御SQL注入的核心机制。通过结合这些策略，您可以构建出既高效又安全的哈希标签搜索功能。
