Як створити параметризований запит PDO з оператором LIKE?

Ось моя спроба на це:

$query = $database->prepare('SELECT * FROM table WHERE column LIKE "?%"');

$query->execute(array('value'));

while ($results = $query->fetch()) 
{
    echo $results['column'];
}

З'ясував це відразу після публікації:

$query = $database->prepare('SELECT * FROM table WHERE column LIKE ?');
$query->execute(array('value%'));

while ($results = $query->fetch())
{
    echo $results['column'];
}

Для тих, хто використовує названі параметри, ось як використовувати LIKEз %частковою відповідністю для баз даних MySQL :

WHERE_ ім'я стовпця LIKE CONCAT ('%',: dangerousstring, '%')

де вказаний параметр :dangerousstring.

Іншими словами, використовуйте %у власному запиті явно нерозміщені знаки, які відокремлюються і, безумовно, не вводяться користувачами.

Редагувати: Синтаксис конкатенації для баз даних Oracle використовує оператор конкатенації:, ||тому він просто стане:

WHERE_ ім'я стовпця LIKE '%' || : небезпечний рядок || '%'

Однак є застереження, як @bobince згадує тут :

Труднощі виникає , коли ви хочете , щоб в буквальному сенсі %або _символ в рядку пошуку, без нього виступати в якості шаблону.

Тож це ще щось, на що слід звернути увагу, поєднуючи вподобання та параметризацію.

$query = $database->prepare('SELECT * FROM table WHERE column LIKE ?');
$query->bindValue(1, "%$value%", PDO::PARAM_STR);
$query->execute();

if (!$query->rowCount() == 0) 
{
    while ($results = $query->fetch()) 
    {
        echo $results['column'] . "<br />\n";
    }       
} 
else 
{
    echo 'Nothing found';
}

Ви також можете спробувати цей. Я стикаюся з подібною проблемою, але отримав результат після досліджень.

$query = $pdo_connection->prepare('SELECT * FROM table WHERE column LIKE :search');

$stmt= $pdo_connection->prepare($query);

$stmt->execute(array(':search' => '%'.$search_term.'%'));

$result = $stmt->fetchAll(PDO::FETCH_ASSOC);

print_r($result);

Це працює:

search `table` where `column` like concat('%', :column, '%')

Я отримав це через марення PHP

$search = "%$search%";
$stmt  = $pdo->prepare("SELECT * FROM table WHERE name LIKE ?");
$stmt->execute([$search]);
$data = $stmt->fetchAll();

І це працює для мене, дуже просто. Як він каже, ви повинні "підготувати наш повний буквальний текст", перш ніж надсилати його на запит

PDO уникає "%" (це може призвести до введення sql) : Використання попереднього коду дасть бажання отримати результати, якщо шукати відповідність часткових рядків, АЛЕ, якщо відвідувач набере символ "%", ви все одно отримаєте результати, навіть якщо не будете " не мати нічого, що зберігається в базі даних (це може призвести до введення sql)

Я спробував багато варіацій, все з тим самим результатом PDO уникає "%", ведучи небажані / невикористані результати пошуку.

Я хоч варто було поділитися, якщо хтось знайшов навколо нього слово, будь ласка, поділіться ним