本教程详细阐述了如何在sql查询中使用`and`操作符组合多个`where`条件，以实现基于用户会话变量（如`$_session['login_user']`）的数据过滤。文章重点强调了在将外部数据（尤其是用户输入或会话数据）整合到sql查询时，必须采用预处理语句（prepared statements）来有效防范sql注入漏洞，并提供了php `mysqli`扩展的实践代码示例。
理解SQL中的多条件查询
在SQL中，WHERE子句是用于过滤查询结果集中满足特定条件的行的关键部分。当需要同时满足多个条件才能将行包含在结果集中时，可以使用逻辑运算符AND来连接这些条件。
- AND：要求所有连接的条件都为真，行才会被包含在结果集中。
- OR：要求至少一个连接的条件为真，行就会被包含在结果集中。
例如，如果需要查询所有状态为“EXPIRED”且属于特定用户名的书籍记录，就可以使用AND操作符将这两个条件连接起来。
整合用户会话数据到SQL查询
在Web应用程序中，根据当前登录用户的身份来显示个性化数据是一种常见需求。PHP的$_SESSION全局变量是存储用户会话信息的标准方式，例如$_SESSION['login_user']可以存储登录用户的用户名。
要将用户会话数据整合到SQL查询中，我们需要在现有的WHERE子句后面添加新的条件。
原始查询示例：
SELECT
user.username, books.bid, name, authors, edition,
status, approve, issue, issue_book.return
FROM user
INNER JOIN issue_book ON user.username = issue_book.username
INNER JOIN books ON issue_book.bid = books.bid
WHERE issue_book.approve = '$exp'
ORDER BY `issue_book`.`return` DESC;如果在此基础上增加一个条件，即只显示当前登录用户（假设用户名为$_SESSION['login_user']）的数据，可以直接使用AND连接：
SELECT
user.username, books.bid, name, authors, edition,
status, approve, issue, issue_book.return
FROM user
INNER JOIN issue_book ON user.username = issue_book.username
INNER JOIN books ON issue_book.bid = books.bid
WHERE issue_book.approve = '$exp' AND user.username = '{$_SESSION['login_user']}'
ORDER BY `issue_book`.`return` DESC;需要注意的是，这里明确指定了user.username，以避免在多表连接时可能出现的列名歧义，并提高查询的可读性。
安全考量：SQL注入漏洞
直接将外部变量（如$_SESSION['login_user']或$exp）通过字符串拼接的方式嵌入到SQL查询中，会带来严重的安全风险，即SQL注入。恶意用户可以通过构造特定的输入字符串来改变查询的意图，甚至执行任意的数据库操作。
例如，如果$_SESSION['login_user']的值被篡改为 admin' OR '1'='1，那么原始查询条件就会变成 user.username = 'admin' OR '1'='1'。由于 '1'='1' 永远为真，这将导致查询返回所有用户的数据，而不仅仅是登录用户的数据，从而造成数据泄露。
推荐方案：使用预处理语句 (Prepared Statements)
为了彻底防范SQL注入，强烈推荐使用预处理语句。预处理语句将SQL查询的结构与数据分离，数据库服务器会先解析SQL结构，然后再将数据安全地绑定到预留的参数位置。这种机制确保了数据不会被解释为SQL代码的一部分。
以下是使用PHP mysqli 扩展实现预处理语句的示例：
| 用户名 | 书籍ID | 书名 | 作者 | 版本 | 状态 | 归还日期 |
|---|---|---|---|---|---|---|
"; echo "请先登录。"; echo "
"; } ?>在上述代码中，我们采取了以下安全和优化措施：
- SQL查询模板：WHERE子句中的动态值被替换为问号?作为占位符。
- mysqli_prepare()：用于创建预处理语句。
- mysqli_stmt_bind_param()：用于将变量安全地绑定到SQL查询中的占位符。第一个参数是语句对象，第二个参数是类型字符串（s代表字符串，i代表整数，d代表双精度浮点数，b代表BLOB），后续参数是要绑定的变量。
- mysqli_stmt_execute()：执行预处理语句。
- mysqli_stmt_get_result()：获取结果集。
- mysqli_stmt_close()：关闭语句资源，释放内存。
- 输出转义：为了进一步增强安全性，所有从数据库中检索并输出到HTML的内容都经过了htmlspecialchars()处理，以防止跨站脚本（XSS）攻击。
- 表别名：为user、books和issue_book表使用了别名u、b和ib，提高了SQL查询的可读性和简洁性。
注意事项
- 始终使用预处理语句：这是防止SQL注入最有效和最推荐的方法。无论是用户输入、会话变量还是其他外部数据，只要用于SQL查询，都应通过参数绑定传入。
- 错误处理：在实际生产环境中，应加入更完善的错误处理机制，例如记录错误日志，而不是直接将详细的错误信息暴露给用户，以避免泄露敏感的系统信息。
- 命名规范：使用清晰、描述性的变量名和表/列别名可以大大提高代码的可读性和可维护性。
- 输出转义：将从数据库中检索到的数据输出到HTML页面时，务必使用htmlspecialchars()或其他适当的转义函数，以防止XSS攻击。
总结
在SQL查询中添加多个WHERE条件是一个常见需求，可以通过AND或OR逻辑操作符轻松实现。然而，当这些条件涉及来自用户会话或输入的动态数据时，安全性成为首要考虑。采用预处理语句是确保数据库操作安全的黄金法则，它不仅能有效抵御SQL注入攻击，还能提高查询性能（因为数据库只需解析一次查询结构）。通过遵循这些最佳实践，开发者可以构建更健壮、更安全的Web应用程序。
