动态查询需防SQL注入，可用字符串拼接并转义参数，或用预处理语句绑定变量，也可封装查询构造器类实现安全灵活的条件组装。
如果您需要根据用户输入或其他运行时条件从数据库中检索数据，PHP 中的动态查询语句组装就显得尤为重要。这类操作允许您基于不同的参数组合生成灵活的 SQL 查询语句，从而精确获取所需记录。
本文运行环境：MacBook Pro，macOS Sonoma
一、使用原生字符串拼接构建条件查询
通过手动拼接 SQL 字符串的方式可以灵活地添加 WHERE 条件。此方法适用于对查询控制要求较高的场景，但需注意防止 SQL 注入。
1、定义基础查询语句，例如：SELECT * FROM users。
立即学习“PHP免费学习笔记（深入）”；
2、初始化一个空数组用于存储条件子句，如 $conditions = []；。
3、根据传入的参数判断是否添加对应条件，例如当存在姓名过滤时，加入 name = 'John' 到 $conditions 数组中。
4、将所有条件使用 AND 连接，并拼接到主查询后形成完整的 WHERE 子句。
5、最终执行前必须确保所有变量经过适当的转义处理，推荐使用 mysqli_real_escape_string() 或其他安全函数进行防护。
二、利用预处理语句绑定动态参数
预处理语句能有效避免 SQL 注入风险，同时支持动态添加查询条件。它通过占位符机制分离 SQL 结构与数据内容。
1、准备一个带有命名占位符的基础查询，例如：SELECT * FROM products WHERE 1=1。
2、每当有一个有效过滤条件（如价格区间、类别），就在 WHERE 后追加相应字段和占位符，如 AND price youjiankuohaophpcn :min_price。
3、为每个占位符维护一个键值对数组，用于绑定实际值。
4、使用 PDO 的 prepare() 方法创建预处理对象，然后调用 execute() 传入参数数组完成查询。
5、此方式的关键优势在于即使条件数量变化，SQL 逻辑依然清晰且安全，无需手动转义输入值。
三、采用查询构造器模式封装逻辑
通过面向对象方式设计一个简单的查询构造器类，可提升代码复用性和可读性。该模式将 SQL 组装过程模块化。
1、创建一个类 QueryBuilder，包含属性如 $table、$whereConditions、$params。
2、提供公共方法 addWhere($field, $value, $operator = '=')，内部自动将条件推入数组并管理绑定参数。
3、实现 build() 方法返回完整 SQL 字符串，以及 getParams() 返回所有绑定值。
4、在实际调用时，链式添加多个条件，最后交由 PDO 执行预处理查询。
5、这种方法使得复杂查询更易于维护，特别适合多条件筛选表单场景。
