Jak utworzyć sparametryzowane zapytanie PDO z instrukcją LIKE?

Oto moja próba:

$query = $database->prepare('SELECT * FROM table WHERE column LIKE "?%"');

$query->execute(array('value'));

while ($results = $query->fetch()) 
{
    echo $results['column'];
}

Zrozumiałem to zaraz po tym, jak opublikowałem:

$query = $database->prepare('SELECT * FROM table WHERE column LIKE ?');
$query->execute(array('value%'));

while ($results = $query->fetch())
{
    echo $results['column'];
}

Dla tych, którzy używają nazwanych parametrów, oto jak używać LIKEz %częściowym dopasowaniem dla baz danych MySQL :

WHERE nazwa_kolumny LIKE CONCAT („%”,: niebezpieczny ciąg, „%”)

gdzie nazwany parametr jest :dangerousstring.

Innymi słowy, %we własnym zapytaniu używaj jawnie znaków bez zmiany znaczenia, które są oddzielone i na pewno nie są danymi wejściowymi użytkownika.

Edycja: składnia konkatenacji dla baz danych Oracle używa operatora konkatenacji:, ||więc po prostu stanie się:

GDZIE nazwa_kolumny LIKE '%' || : niebezpieczny ciąg || „%”

Istnieją jednak zastrzeżenia, ponieważ @bobince wspomina tutaj, że:

Trudność pojawia się, gdy chcesz zezwolić dosłownym %lub _znak w ciągu wyszukiwania, bez konieczności działać jako zamiennika.

Jest to więc coś, na co należy uważać podczas łączenia polubień i parametryzacji.

$query = $database->prepare('SELECT * FROM table WHERE column LIKE ?');
$query->bindValue(1, "%$value%", PDO::PARAM_STR);
$query->execute();

if (!$query->rowCount() == 0) 
{
    while ($results = $query->fetch()) 
    {
        echo $results['column'] . "<br />\n";
    }       
} 
else 
{
    echo 'Nothing found';
}

Możesz także spróbować tego. Mam podobny problem, ale po badaniach uzyskałem wynik.

$query = $pdo_connection->prepare('SELECT * FROM table WHERE column LIKE :search');

$stmt= $pdo_connection->prepare($query);

$stmt->execute(array(':search' => '%'.$search_term.'%'));

$result = $stmt->fetchAll(PDO::FETCH_ASSOC);

print_r($result);

To działa:

search `table` where `column` like concat('%', :column, '%')

Mam to z urojeń php

$search = "%$search%";
$stmt  = $pdo->prepare("SELECT * FROM table WHERE name LIKE ?");
$stmt->execute([$search]);
$data = $stmt->fetchAll();

U mnie to działa, bardzo proste. Jak mówi, przed wysłaniem go do zapytania należy najpierw „przygotować nasz kompletny dosłowny”

PDO ucieka „%” (może prowadzić do wstrzyknięcia sql) : Użycie poprzedniego kodu da pożądane rezultaty, gdy szuka się dopasowania częściowych ciągów, ALE jeśli odwiedzający wpisze znak „%”, nadal otrzymasz wyniki, nawet jeśli tego nie zrobisz nie mam nic zapisanego w bazie danych (może to prowadzić do wstrzyknięć sql)

Wypróbowałem wiele wariacji, wszystkie z tym samym rezultatem PDO ucieka przed „%” wiodącymi niechcianymi / niespodziewanymi wynikami wyszukiwania.

Pomyślałam, że warto się tym podzielić, jeśli ktoś znalazł przy nim jakieś słowo, proszę o podzielenie się nim