PHP PDO 怎样安全绑定 LIKE 查询中的通配符

PHP PDO 绑定 LIKE 查询时，安全做法不是把搜索词直接拼到 SQL，也不是把占位符写成 LIKE '%?%'。正确拆分是：SQL 只保留 LIKE :pattern，程序先按数据库的 LIKE 转义规则处理用户输入，再把最终的完整模式值绑定进去。这样，程序主动添加的前后百分号仍然表示“包含”，用户输入里的 % 和 _ 则按字面量处理。

官方资料：https://www.php.net/manual/en/pdo.prepared-statements.php

可以把它记成一句话：占位符负责绑定值，LIKE 转义负责区分通配符和普通字符，两件事不能互相替代。

• SQL 结构：写成 WHERE title LIKE :pattern。
• 搜索值：在 PHP 中组装 %用户输入%，再绑定到 :pattern。
• 字面量边界：用户输入的 %、_ 和转义字符要按目标数据库规则处理。

先分清占位符和 LIKE 通配符

这类问题经常同时混淆两种语法：PDO 占位符属于参数绑定机制，% 和 _ 属于 SQL 的 LIKE 模式。PDO 会把参数当作一个值处理，并不会替你把这个值拆成 SQL 结构。

因此下面这种写法的思路是错的：

prepare("SELECT id, title FROM articles WHERE title LIKE '%?%'");
$stmt->execute([$keyword]);

官方手册给出的边界也很明确：占位符应当代表完整值，而不是被引号、百分号包在一个字符串片段里。需要包含匹配时，把百分号放到绑定值中即可。

先转义用户输入，再拼接搜索范围

以 MySQL/MariaDB 常见的反斜杠转义语义为例，用户输入中的反斜杠必须先处理，否则后面补上的转义符可能再次被解释。随后再处理 % 和 _，让它们在用户输入中表示普通字符。

这里使用的是字符串替换，不是把输入交给正则表达式。替换顺序很重要：如果先处理百分号、下划线，再处理反斜杠，后一步可能把刚插入的转义符再次改变。

这段代码只解决“用户输入中的 LIKE 特殊字符按字面量匹配”这一层。它不负责 HTML 展示转义，也不负责把 SQL 标识符当参数绑定；这些是不同的边界。

把完整模式值绑定到 PDO

有了模式值后，SQL 保持稳定，参数数组只传递值。这样既保留预处理语句的结构边界，也能表达“标题中包含关键词”的业务意图。

prepare($sql);

// 显式传入字符串参数，便于读者看清绑定边界
$stmt->bindValue(':pattern', $pattern, PDO::PARAM_STR);
$stmt->execute();

// 只读取查询结果，不把未处理的用户输入直接输出到页面
$rows = $stmt->fetchAll(PDO::FETCH_ASSOC);

如果不需要单独调用 bindValue()，也可以用 $stmt->execute(['pattern' => $pattern])。两种写法的关键都在于：传给参数的是已经组装好的完整模式，而不是把 % 拼入 SQL 字符串。

根据搜索意图决定通配符放在哪里

“安全绑定”不等于所有查询都必须使用前后两个百分号。通配符位置表达的是业务意图，用户输入的特殊字符处理表达的是字面量边界，两者应当分开决定。

一个可复用的小型查询函数

如果项目里有多处模糊搜索，可以把“转义并组装模式”收口，调用方只传搜索词和搜索类型。示例仍然以默认反斜杠转义的数据库语义为前提，换用其他数据库时要依据其官方文档调整。

 $escaped . '%',
        'suffix' => '%' . $escaped,
        'contains' => '%' . $escaped . '%',
        default => throw new InvalidArgumentException('不支持的 LIKE 模式'),
    };

    // SQL 结构固定，变化的只有绑定值
    $stmt = $pdo->prepare(
        'SELECT id, title FROM articles WHERE title LIKE :pattern ORDER BY id DESC'
    );
    $stmt->execute(['pattern' => $pattern]);

    // 统一返回数组，让上层渲染和接口层各自处理输出编码
    return $stmt->fetchAll(PDO::FETCH_ASSOC);
}

空字符串要单独考虑：contains 模式下它会变成 %%，通常会匹配大量记录。实际接口可以在调用前判断空值，或者把空搜索解释为不执行查询，避免无意义的全表结果。

用四组输入检查绑定结果

不需要把 SQL 拼出来猜测是否安全，直接围绕语义准备对照输入即可：

1. 输入 php：包含模式应匹配标题中出现 php 的记录。
2. 输入 100%：百分号应作为普通字符参与匹配，不应放大成任意字符串。
3. 输入 file_name：下划线应按字面量匹配，不应替代任意单个字符。
4. 输入包含反斜杠：应确认转义顺序没有吞掉原字符。

如果你的业务确实允许用户输入 LIKE 通配符，就不要把它们全部转义；可以把“用户可使用通配符”和“用户文本按字面量搜索”设计成两个明确入口，避免一个参数同时承担两种含义。

常见问题

为什么不能写成 LIKE '%?%'？

因为 ? 在字符串字面量中已经失去独立占位符的位置。应该写成 LIKE :pattern，再把 %关键词% 作为参数值传入。

只使用 PDO 预处理就能让 % 和 _ 变成普通字符吗？

不能。预处理解决的是值与 SQL 结构的边界；LIKE 的通配符语义仍由数据库解释。要把用户输入中的特殊字符当字面量，需要额外按目标数据库规则转义。

为什么要先转义反斜杠？

在采用反斜杠作为 LIKE 转义字符的数据库语义中，反斜杠会影响后一个字符的解释。先处理它，才能避免后续新增的转义符和原始字符互相干扰。

换成 PostgreSQL 或其他数据库还能直接复制吗？

不能直接假定。PDO API 的绑定方式相近，但 LIKE 的转义字符、是否需要显式 ESCAPE 子句以及字符串字面量规则可能不同，应先查目标数据库的官方文档，再调整转义函数。

最终可以用三个检查收尾：SQL 中没有拼接用户文本；占位符绑定的是完整模式值；用户输入中的 LIKE 特殊字符是否按目标数据库语义处理。满足这三点，PHP PDO 的 LIKE 模糊查询就有了清晰、可维护的安全边界。