17370845950

本文讲解如何在php中准确拆分逗号分隔的关键词字符串，并动态构建含多个like条件的mysql查询，重点解决因空格未被识别导致的关键词截断问题，同时强调sql注入防护与最佳实践。

你遇到的问题核心在于字符串分割逻辑不匹配实际输入格式。原始代码使用 preg_split("/,/", $my_search) 仅按英文逗号 , 分割，但你的示例字符串是：

$my_search = "paper, glue, discount, bulk";

注意：每个逗号后都带有一个空格（,），因此 preg_split("/,/", ...) 会将 " glue"（含前导空格）作为数组元素，导致后续 LIKE 匹配变成 LIKE '% glue%' —— 这几乎无法命中数据库中干净的关键词（如 "glue"），反而可能因 % 通配符扩大匹配范围，造成“返回全部行”的假象。

✅ 正确做法是按 ", "（逗号+空格）分割，或更健壮地使用正则忽略首尾空格：

$my_search = "paper, glue, discount, bulk";
// ✅ 推荐：用 trim + preg_split 处理任意空白（兼容 ,、, 、,\t 等）
$new_search = array_map('trim', preg_split('/[,;\s]+/', $my_search, -1, PREG_SPLIT_NO_EMPTY));

// 构建 WHERE 条件（注意：初始条件需用 WHERE，而非硬编码 'likes LIKE %offers%'）
$conditions = [];
$params = [];

// 假设你想同时匹配 'offers' 和用户输入的关键词
$base_keywords = ['offers'];
$all_keywords = array_merge($base_keywords, $new_search);

foreach ($all_keywords as $keyword) {
    if (!empty($keyword)) {
        $conditions[] = "likes LIKE ?";
        $params[] = "%{$keyword}%";
    }
}

// 拼接 SQL（使用占位符，为预处理做准备）
$where_clause = !empty($conditions) ? 'WHERE ' . implode(' OR ', $conditions) : '';
$sql = "SELECT * FROM clients_personal {$where_clause}";

// ✅ 强烈推荐：使用预处理语句防止 SQL 注入
$stmt = $conn->prepare($sql);
if ($stmt) {
    // 动态绑定参数（需根据 PHP 版本调整，例如 mysqli 需 call_user_func_array）
    $types = str_repeat('s', count($params));
    $stmt->bind_param($types, ...$params);
    $stmt->execute();
    $result = $stmt->get_result();

    if ($result->num_rows > 0) {
        while ($row = $result->fetch_assoc()) {
            echo $row["id"] . "\n";
        }
    }
}

⚠️ 注意事项：

• 永远避免字符串拼接 SQL（尤其是含用户输入时），否则极易引发 SQL 注入；
• LIKE 在大数据量下性能较差，建议对 likes 字段建立全文索引（FULLTEXT），改用 MATCH() AGAINST() 提升效率与相关性；
• 若 likes 字段存储的是逗号分隔值（如 "paper,glue,bulk"），属于反范式设计，长期应考虑规范化为关联表（clients_likes）；
• 实际生产环境建议引入 PDO 或 mysqli 的预处理 + 参数绑定，确保类型安全与可维护性。

总结：一次看似微小的分隔符偏差（, vs ,）会导致整个搜索逻辑失效；而真正的健壮性，来自规范的字符串清洗、参数化查询和数据结构优化。