php mysql - search like - variable

Question

我有一個表單，用戶可以輸入名字進行搜索，我的查詢沒有返回正確的結果，我做錯了什麼？

$sfn = $_POST["Text1"]; 
$sql = "SELECT * FROM ex_usrs WHERE firstname LIKE '$sfn'"; 
... 

Answer 1

你的查詢只返回行，其中firstname是等於$_POST["Text1"]。當您使用LIKE時，您可以使用通配符（%）來表示任意數量的字符。

• 這將找到行，其中firstname開始與$_POST["Text1"]。

  SELECT * FROM ex_usrs WHERE firstname LIKE '$sfn%' 
  

• 其中firstname與$_POST["Text1"]結束。這將找到的行。

  SELECT * FROM ex_usrs WHERE firstname LIKE '%$sfn' 
  

• 這將找到行，其中firstname包含$_POST["Text1"]。

  SELECT * FROM ex_usrs WHERE firstname LIKE '%$sfn%' 
  

注：從$_POST決不使用變量，而無需先逃離他們。如果我搜索了"O'Neil"（或更糟的"'; DROP TABLE ex_users; -- "），該怎麼辦？

Answer 2

也許你應該添加％-signs到您的關鍵字是這樣的：

$sql = "SELECT * FROM ex_usrs WHERE firstname LIKE '%$sfn%'"; 

Answer 3

您應該使用%searchterm% - 包括%通配符。

$sql = "SELECT * FROM ex_usrs WHERE firstname LIKE '%$sfn%'"; 

Answer 4

應該

"SELECT * FROM ex_usrs WHERE firstname LIKE '%$sfn%'"