Wie erstelle ich eine PDO-parametrisierte Abfrage mit einer LIKE-Anweisung?

Hier ist mein Versuch:

$query = $database->prepare('SELECT * FROM table WHERE column LIKE "?%"');

$query->execute(array('value'));

while ($results = $query->fetch()) 
{
    echo $results['column'];
}

Ich habe es gleich nach dem Posten herausgefunden:

$query = $database->prepare('SELECT * FROM table WHERE column LIKE ?');
$query->execute(array('value%'));

while ($results = $query->fetch())
{
    echo $results['column'];
}

Für diejenigen , benannte Parameter verwenden, ist hier, wie die Verwendung LIKEmit %Teilübereinstimmung für MySQL - Datenbanken :

WHERE Spaltenname LIKE CONCAT ('%' ,: gefährliche Zeichenfolge, '%')

wo der genannte Parameter ist :dangerousstring.

Mit anderen Worten, verwenden Sie %in Ihrer eigenen Abfrage explizit nicht entkoppelte Zeichen, die getrennt sind und definitiv nicht die Benutzereingabe sind.

Bearbeiten: Die Verkettungssyntax für Oracle-Datenbanken verwendet den Verkettungsoperator : ||, wird also einfach:

WHERE Spaltenname LIKE '%' || : gefährliche Saite || '%'

Es gibt jedoch Vorbehalte, da @bobince hier erwähnt , dass:

Die Schwierigkeit tritt auf, wenn Sie ein Literal %oder _Zeichen in der Suchzeichenfolge zulassen möchten , ohne dass es als Platzhalter fungiert.

Das ist also etwas anderes, auf das Sie achten müssen, wenn Sie Like und Parametrisierung kombinieren.

$query = $database->prepare('SELECT * FROM table WHERE column LIKE ?');
$query->bindValue(1, "%$value%", PDO::PARAM_STR);
$query->execute();

if (!$query->rowCount() == 0) 
{
    while ($results = $query->fetch()) 
    {
        echo $results['column'] . "<br />\n";
    }       
} 
else 
{
    echo 'Nothing found';
}

Sie können diesen auch ausprobieren. Ich stehe vor einem ähnlichen Problem, habe aber nach Recherchen ein Ergebnis erzielt.

$query = $pdo_connection->prepare('SELECT * FROM table WHERE column LIKE :search');

$stmt= $pdo_connection->prepare($query);

$stmt->execute(array(':search' => '%'.$search_term.'%'));

$result = $stmt->fetchAll(PDO::FETCH_ASSOC);

print_r($result);

Das funktioniert:

search `table` where `column` like concat('%', :column, '%')

Ich habe das von PHP-Wahnvorstellungen bekommen

$search = "%$search%";
$stmt  = $pdo->prepare("SELECT * FROM table WHERE name LIKE ?");
$stmt->execute([$search]);
$data = $stmt->fetchAll();

Und es funktioniert bei mir sehr einfach. Wie er sagt, müssen Sie "zuerst unser vollständiges Literal vorbereiten", bevor Sie es an die Abfrage senden

PDO entgeht "%" (kann zu SQL-Injection führen) : Die Verwendung des vorherigen Codes führt zu den gewünschten Ergebnissen, wenn Teilzeichenfolgen abgeglichen werden sollen. ABER wenn ein Besucher das Zeichen "%" eingibt, erhalten Sie auch dann Ergebnisse, wenn Sie dies nicht tun. Sie haben nichts in der Datenbank gespeichert (dies kann zu SQL-Injektionen führen).

Ich habe viele Variationen ausprobiert, alle mit dem gleichen Ergebnis. PDO entgeht "%" und führt zu unerwünschten / nicht aufgeregten Suchergebnissen.

Ich dachte, es lohnt sich zu teilen, wenn jemand ein Wort darüber gefunden hat, teilen Sie es bitte