本文旨在解决php/mysql模糊搜索中包含空格的多词查询问题，并强调sql注入防护的重要性。我们将探讨如何利用php的`explode`函数将搜索短语拆分为多个关键词，并结合mysql的`like`子句构建更灵活的查询逻辑。核心内容将聚焦于使用php的`mysqli`预处理语句实现安全的、支持多词搜索的功能，确保数据交互的可靠性与安全性。
在开发基于PHP和MySQL的应用程序时，实现一个高效且安全的搜索功能是常见的需求。然而，当用户输入的搜索关键词包含空格（即多词查询）时，传统的CONCAT_WS结合单个LIKE子句的方法往往无法产生预期结果。例如，搜索“test 2”可能无法找到“test”在某一列，“2”在另一列的记录，而搜索“test2”或“2test”却能成功。此外，直接将用户输入拼接到SQL查询字符串中会引入严重的安全漏洞——SQL注入。本教程将详细介绍如何解决这些问题，构建一个既能处理多词查询又具备SQL注入防护能力的搜索功能。
1. 理解传统模糊搜索的局限性
原始代码中使用的CONCAT_WS函数将多个列的内容连接成一个字符串，然后使用LIKE '%".$valueToSearch."%'进行模糊匹配。
SELECT * FROM `master` WHERE CONCAT_WS(`id`, `office`, `firstName`, ...) LIKE '%".$valueToSearch."%'
这种方法的问题在于：
- 空格处理不当： 当$valueToSearch为“test 2”时，它会尝试在连接后的字符串中查找“test 2”这个完整的短语。如果“test”和“2”分别位于不同的列，或者它们之间没有空格（在CONCAT_WS连接后），则无法匹配。例如，CONCAT_WS('test', '2')的结果是test2，而不是test 2。
- SQL注入风险： 最严重的问题是，$valueToSearch直接通过字符串拼接的方式嵌入到SQL查询中。恶意用户可以构造特殊的输入，从而改变查询的意图，导致数据泄露、篡改甚至删除。
2. 解决多词查询：利用PHP explode 和 SQL LIKE
为了正确处理包含空格的多词查询，我们需要将用户输入的搜索短语拆分成独立的关键词，然后为每个关键词构建单独的LIKE条件。
立即学习“PHP免费学习笔记（深入）”；
核心思路：
- 使用PHP的explode()函数将用户输入的搜索字符串按空格分割成一个关键词数组。
- 遍历关键词数组，为每个关键词在目标列中生成LIKE '%关键词%'的条件。
- 将这些条件组合起来，通常使用AND逻辑（表示所有关键词都必须匹配）或OR逻辑（表示任意关键词匹配即可）。对于本场景，通常希望所有关键词都能在某个列中找到，所以AND逻辑更符合预期。
示例：构建动态 WHERE 子句
假设搜索词是“John Doe”，我们希望在firstName和lastName列中查找。
- explode(' ', "John Doe") 会得到 ['John', 'Doe']。
- 生成的SQL条件可能类似于： WHERE (firstName LIKE '%John%' OR lastName LIKE '%John%') AND (firstName LIKE '%Doe%' OR lastName LIKE '%Doe%')
3. 实施SQL注入防护：使用预处理语句（Prepared Statements）
在构建动态SQL查询时，防止SQL注入是至关重要的。PHP的mysqli扩展提供了预处理语句（Prepared Statements）功能，可以有效隔离SQL代码和用户输入的数据。
预处理语句的工作原理：
- 准备（Prepare）： 将带有占位符（?）的SQL模板发送到数据库服务器。
- 绑定参数（Bind Parameters）： 将用户输入的数据绑定到占位符上，数据库服务器会将其视为纯数据，而不是可执行的SQL代码。
- 执行（Execute）： 执行预处理好的语句。
通过这种方式，即使$valueToSearch包含恶意SQL代码，数据库也会将其作为普通字符串进行匹配，而不是执行它。
4. 完整的安全多词搜索实现
下面是结合了多词查询处理和SQL注入防护的PHP/MySQLi代码示例：
PHP HTML TABLE DATA SEARCH