在SQL查询中，通过使用逻辑运算符（如`AND`）可以轻松地组合多个`WHERE`子句条件，从而实现更精细的数据过滤。当需要根据用户会话数据（如登录用户名）来限制结果集时，可以将用户会话变量作为条件之一加入`WHERE`子句。然而，直接将用户输入或会话数据拼接到SQL查询字符串中存在严重的安全风险，即SQL注入。因此，推荐使用参数化查询（预处理语句）来安全地实现这一功能，确保数据查询的准确性和系统的安全性。
SQL WHERE 子句与多条件组合
SQL的WHERE子句用于从表中筛选出满足特定条件的行。当需要同时满足多个条件时，可以使用逻辑运算符将这些条件连接起来。最常用的逻辑运算符是AND和OR。
- AND：当所有连接的条件都为真时，整个条件才为真。
- OR：当任一连接的条件为真时，整个条件就为真。
在我们的场景中，需要同时满足“图书状态为过期”和“用户名为当前登录用户”这两个条件，因此AND运算符是合适的选择。
结合用户会话数据进行过滤
假设我们有一个查询，旨在显示某个用户的所有过期书籍。原始查询可能只包含一个关于书籍状态的条件：
SELECT
user.username, books.bid, name, authors, edition,
status, approve, issue, issue_book.return
FROM user
INNER JOIN issue_book ON user.username = issue_book.username
INNER JOIN books ON issue_book.bid = books.bid
WHERE issue_book.approve = 'EXPIRED'
ORDER BY `issue_book`.`return` DESC;为了进一步筛选出特定登录用户的过期书籍，我们需要添加另一个条件：user.username = '当前登录用户名'。结合AND运算符，修改后的SQL查询结构如下：
SELECT
user.username, books.bid, name, authors, edition,
status, approve, issue, issue_book.return
FROM user
INNER JOIN issue_book ON user.username = issue_book.username
INNER JOIN books ON issue_book.bid = books.bid
WHERE issue_book.approve = 'EXPIRED' AND user.username = '当前登录用户名'
ORDER BY `issue_book`.`return` DESC;这里的'当前登录用户名'将由PHP的$_SESSION['login_user']变量提供。
安全地使用会话数据：预处理语句
直接将$_SESSION['login_user']的值拼接到SQL查询字符串中是极其危险的，因为它容易受到SQL注入攻击。攻击者可以通过篡改会话数据，执行恶意SQL代码。为了防止此类攻击，务必使用预处理语句（Prepared Statements）。
预处理语句的工作原理是将SQL查询模板与参数值分开。数据库会先解析查询模板，然后再将参数安全地绑定到查询中，从而避免了恶意代码的执行。
以下是使用PHP的mysqli扩展实现安全查询的示例：
<?php
// 确保会话已启动
if (session_status() == PHP_SESSION_NONE) {
session_start();
}
// 假设 $db 是已建立的数据库连接
// 例如：$db = mysqli_connect("localhost", "root", "", "your_database_name");
if (isset($_SESSION['login_user'])) {
$exp = 'EXPIRED';
$session_username = $_SESSION['login_user'];
// SQL 查询模板，使用问号作为占位符
$sql = "SELECT
user.username, books.bid, name, authors, edition,
status, approve, issue, issue_book.return
FROM user
INNER JOIN issue_book ON user.username = issue_book.username
INNER JOIN books ON issue_book.bid = books.bid
WHERE issue_book.approve = ? AND user.username = ?
ORDER BY `issue_book`.`return` DESC";
// 准备语句
if ($stmt = mysqli_prepare($db, $sql)) {
// 绑定参数
// 'ss' 表示两个参数都是字符串类型
mysqli_stmt_bind_param($stmt, 'ss', $exp, $session_username);
// 执行语句
mysqli_stmt_execute($stmt);
// 获取结果集
$res = mysqli_stmt_get_result($stmt);
if (mysqli_num_rows($res) == 0) {
echo "<p>您没有过期书籍。</p>";
} else {
echo "<table class='table table-bordered'>";
echo "<tr style='background-color: #abb79b; color: white;'>";
echo "<th>用户名</th><th>BID</th><th>书名</th><th>作者</th><th>版本</th><th>状态</th><th>归还日期</th>";
echo "</tr>";
while ($row = mysqli_fetch_assoc($res)) {
echo "<tr style='background-color: white;'>";
echo "<td>" . htmlspecialchars($row['username']) . "</td>";
echo "<td>" . htmlspecialchars($row['bid']) . "</td>";
echo "<td>" . htmlspecialchars($row['name']) . "</td>";
echo "<td>" . htmlspecialchars($row['authors']) . "</td>";
echo "<td>" . htmlspecialchars($row['edition']) . "</td>";
echo "<td>" . htmlspecialchars($row['status']) . "</td>";
echo "<td>" . htmlspecialchars($row['return']) . "</td>";
echo "</tr>";
}
echo "</table>";
}
// 关闭语句
mysqli_stmt_close($stmt);
} else {
echo "<p>数据库查询准备失败: " . mysqli_error($db) . "</p>";
}
} else {
echo "</br></br></br>";
echo "<h2><b>请先登录。</b></h2>";
}
?>代码解释：
- mysqli_prepare($db, $sql): 准备SQL查询，将查询字符串发送到数据库服务器进行解析。问号?作为参数的占位符。
-
mysqli_stmt_bind_param($stmt, 'ss', $exp, $session_username): 绑定参数。
- 第一个参数 $stmt 是由 mysqli_prepare 返回的语句对象。
- 第二个参数 'ss' 是一个字符串，指定了后续参数的类型。s 代表字符串（string），i 代表整数（integer），d 代表双精度浮点数（double），b 代表 blob。这里我们有两个字符串参数，所以是'ss'。
- 后续参数 $exp 和 $session_username 则是要绑定的实际值，它们会按顺序替换SQL中的问号。
- mysqli_stmt_execute($stmt): 执行已准备并绑定参数的语句。
- mysqli_stmt_get_result($stmt): 获取执行结果。对于SELECT语句，它返回一个结果集对象，可以像 mysqli_query 返回的结果一样处理。
- mysqli_stmt_close($stmt): 完成操作后关闭语句，释放资源。
- htmlspecialchars(): 在输出数据到HTML时，使用 htmlspecialchars() 对数据进行转义，以防止跨站脚本攻击（XSS）。
注意事项
- SQL注入防护是首要任务：永远不要直接将用户输入或来自会话的变量值拼接到SQL查询字符串中。使用预处理语句是业界公认的最佳实践。
- 类型匹配：在 mysqli_stmt_bind_param 中，务必正确指定参数类型（s, i, d, b），以确保数据正确绑定。
- 错误处理：在实际应用中，应该对 mysqli_prepare、mysqli_stmt_execute 等函数的结果进行严格的错误检查，并记录错误信息，以便调试和维护。
- 条件复杂性：当需要组合更多条件时，可以继续使用 AND 或 OR。如果条件逻辑变得复杂，可以使用括号 () 来明确指定运算的优先级，例如 WHERE (condition1 AND condition2) OR condition3。
- 会话变量验证：在尝试使用 $_SESSION 变量之前，始终通过 isset() 检查其是否存在，确保用户已登录且会话数据可用。
总结
在SQL查询中结合多个WHERE子句条件，特别是与用户会话数据结合时，使用AND等逻辑运算符是实现精细过滤的关键。然而，安全性是任何Web应用中不可忽视的方面。通过采用预处理语句（如mysqli的prepare和bind_param方法），可以有效防范SQL注入攻击，确保数据的安全性和应用程序的健壮性。始终优先考虑安全性，并遵循最佳实践来构建可靠的数据库交互逻辑。
