本文将指导您如何在sql查询中结合多个`where`条件，以实现对特定用户数据的过滤，例如根据登录用户的会话信息筛选结果。我们将重点介绍如何使用`and`逻辑运算符来连接条件，并强调采用预处理语句（prepared statements）来有效防止sql注入攻击，确保数据查询的安全性与可靠性。
1. 理解SQL的WHERE子句与逻辑运算符
SQL的WHERE子句用于从表中筛选满足特定条件的行。当需要同时满足多个条件时，可以使用逻辑运算符来连接它们。最常用的逻辑运算符包括：
- AND：当所有连接的条件都为真时，整个条件才为真。
- OR：当任一连接的条件为真时，整个条件就为真。
- NOT：用于否定一个条件。
在需要同时满足“书籍状态为过期”并且“属于当前登录用户”这两个条件时，AND运算符是理想的选择。
2. 结合多个条件过滤用户数据
假设我们有一个查询，旨在显示用户的逾期书籍。原始查询可能只根据书籍状态进行过滤：
SELECT
user.username, books.bid, name, authors, edition,
status, approve, issue, issue_book.return
FROM user
INNER JOIN issue_book ON user.username = issue_book.username
INNER JOIN books ON issue_book.bid = books.bid
WHERE issue_book.approve = 'EXPIRED'
ORDER BY `issue_book`.`return` DESC;为了进一步筛选出当前登录用户（例如，其用户名存储在$_SESSION['login_user']中）的逾期书籍，我们可以在现有WHERE子句后面使用AND运算符添加第二个条件：
SELECT
user.username, books.bid, name, authors, edition,
status, approve, issue, issue_book.return
FROM user
INNER JOIN issue_book ON user.username = issue_book.username
INNER JOIN books ON issue_book.bid = books.bid
WHERE issue_book.approve = 'EXPIRED' AND user.username = '当前登录用户名'
ORDER BY `issue_book`.`return` DESC;将'当前登录用户名'替换为从$_SESSION['login_user']获取的值即可实现过滤。
3. 安全地过滤用户数据：防止SQL注入
直接将用户输入（如$_SESSION中的值）拼接到SQL查询字符串中是非常危险的，这会使您的应用程序容易受到SQL注入攻击。攻击者可以通过在输入中插入恶意SQL代码来修改查询的意图，从而窃取、修改或删除数据。
为了安全地处理用户输入，我们必须使用预处理语句（Prepared Statements）。预处理语句将SQL查询结构与数据值分离，数据库服务器会先解析查询结构，然后再将数据绑定到查询中，从而有效防止恶意代码的执行。
以下是使用PHP的mysqli扩展实现预处理语句的步骤：
- 准备（Prepare）查询：创建一个带有占位符（?）的SQL查询字符串，而不是直接插入值。
- 绑定参数（Bind Parameters）：将实际的数据值绑定到占位符上，并指定它们的类型。
- 执行（Execute）查询：执行已准备好的语句。
- 获取结果（Get Result）：如果查询是SELECT语句，则获取结果集。
4. 示例代码：使用预处理语句安全地查询用户数据
以下PHP代码演示了如何结合AND条件和预处理语句，安全地获取当前登录用户的逾期书籍列表：
<?php
// 假设 $db 变量已经包含了有效的数据库连接对象
// 例如：$db = mysqli_connect("localhost", "username", "password", "database_name");
if(isset($_SESSION['login_user'])) {
$exp_status = 'EXPIRED'; // 定义过期状态
$session_username = $_SESSION['login_user']; // 获取当前登录用户名
// 1. 准备带有占位符的SQL查询
$sql = "SELECT
user.username, books.bid, name, authors, edition,
status, approve, issue, issue_book.return
FROM user
INNER JOIN issue_book ON user.username = issue_book.username
INNER JOIN books ON issue_book.bid = books.bid
WHERE issue_book.approve = ? AND user.username = ?
ORDER BY `issue_book`.`return` DESC";
// 检查是否成功准备语句
if ($stmt = mysqli_prepare($db, $sql)) {
// 2. 绑定参数
// 'ss' 表示有两个字符串类型的参数
mysqli_stmt_bind_param($stmt, "ss", $exp_status, $session_username);
// 3. 执行语句
mysqli_stmt_execute($stmt);
// 4. 获取结果集
$res = mysqli_stmt_get_result($stmt);
// 检查是否有结果
if (mysqli_num_rows($res) == 0) {
echo "<p>您没有逾期书籍。</p>";
} else {
// 渲染表格
echo "<table class='table table-bordered'>";
echo "<tr style='background-color: #abb79b; color: white;'>";
echo "<th>用户名</th><th>书籍ID</th><th>书名</th><th>作者</th><th>版本</th><th>状态</th><th>归还日期</th>";
echo "</tr>";
while ($row = mysqli_fetch_assoc($res)) {
echo "<tr style='background-color: white;'>";
echo "<td>" . htmlspecialchars($row['username']) . "</td>";
echo "<td>" . htmlspecialchars($row['bid']) . "</td>";
echo "<td>" . htmlspecialchars($row['name']) . "</td>";
echo "<td>" . htmlspecialchars($row['authors']) . "</td>";
echo "<td>" . htmlspecialchars($row['edition']) . "</td>";
echo "<td>" . htmlspecialchars($row['status']) . "</td>";
echo "<td>" . htmlspecialchars($row['return']) . "</td>";
echo "</tr>";
}
echo "</table>";
}
// 5. 关闭语句
mysqli_stmt_close($stmt);
} else {
// 处理语句准备失败的错误
echo "<p style='color: red;'>错误：无法准备SQL查询。请联系管理员。</p>";
// 生产环境中应记录详细错误日志，而不是直接显示给用户
// error_log("SQL Prepare Error: " . mysqli_error($db));
}
} else {
// 用户未登录的处理
echo "<br><br><br>";
echo "<h2><b>请先登录。</b></h2>";
}
?>注意事项：
- 在显示从数据库获取的数据时，使用htmlspecialchars()函数对数据进行转义，以防止跨站脚本（XSS）攻击。
- 始终检查mysqli_prepare()和mysqli_stmt_execute()等函数的返回值，以便在发生错误时进行适当的处理和调试。
- 在生产环境中，不应直接向用户显示详细的数据库错误信息，而应记录到日志文件中。
5. 总结与最佳实践
在SQL查询中结合多个WHERE条件以实现精细化数据过滤是常见的需求。通过使用AND逻辑运算符，可以轻松地连接多个过滤条件。然而，更重要的是，在处理任何来自用户或会话的数据时，务必采用预处理语句来构建和执行SQL查询，以彻底防范SQL注入攻击，确保应用程序的数据安全。遵循这些最佳实践，可以构建出既功能强大又安全可靠的Web应用程序。
