Come si crea una query parametrizzata PDO con un'istruzione LIKE?

Ecco il mio tentativo:

$query = $database->prepare('SELECT * FROM table WHERE column LIKE "?%"');

$query->execute(array('value'));

while ($results = $query->fetch()) 
{
    echo $results['column'];
}

L'ho capito subito dopo aver pubblicato:

$query = $database->prepare('SELECT * FROM table WHERE column LIKE ?');
$query->execute(array('value%'));

while ($results = $query->fetch())
{
    echo $results['column'];
}

Per coloro che utilizzano parametri denominati, ecco come utilizzarli LIKEcon la %corrispondenza parziale per i database MySQL :

WHERE nome_colonna LIKE CONCAT ('%',: dangerousstring, '%')

dove si trova il parametro denominato :dangerousstring.

In altre parole, usa %segni esplicitamente senza caratteri di escape nella tua query che sono separati e sicuramente non l'input dell'utente.

Modifica: la sintassi di concatenazione per i database Oracle utilizza l'operatore di concatenazione:, ||quindi diventerà semplicemente:

WHERE nome_colonna LIKE '%' || : dangerousstring || '%'

Tuttavia ci sono avvertimenti in quanto @bobince menziona qui che:

La difficoltà arriva quando si desidera consentire un letterale %o un _carattere nella stringa di ricerca, senza che agisca come un carattere jolly.

Quindi è qualcos'altro a cui prestare attenzione quando si combinano like e parametrizzazione.

$query = $database->prepare('SELECT * FROM table WHERE column LIKE ?');
$query->bindValue(1, "%$value%", PDO::PARAM_STR);
$query->execute();

if (!$query->rowCount() == 0) 
{
    while ($results = $query->fetch()) 
    {
        echo $results['column'] . "<br />\n";
    }       
} 
else 
{
    echo 'Nothing found';
}

Puoi anche provare questo. Affronto un problema simile ma ho ottenuto risultati dopo la ricerca.

$query = $pdo_connection->prepare('SELECT * FROM table WHERE column LIKE :search');

$stmt= $pdo_connection->prepare($query);

$stmt->execute(array(':search' => '%'.$search_term.'%'));

$result = $stmt->fetchAll(PDO::FETCH_ASSOC);

print_r($result);

Funziona:

search `table` where `column` like concat('%', :column, '%')

L'ho preso da php delusions

$search = "%$search%";
$stmt  = $pdo->prepare("SELECT * FROM table WHERE name LIKE ?");
$stmt->execute([$search]);
$data = $stmt->fetchAll();

E per me funziona, molto semplice. Come dice lui, devi "preparare prima il nostro letterale completo" prima di inviarlo alla query

PDO sfugge a "%" (può portare a sql injection) : l'uso del codice precedente darà i risultati desiderati quando si cerca di abbinare stringhe parziali MA se un visitatore digita il carattere "%" otterrai comunque risultati anche se non lo fai non avere nulla memorizzato nel database (potrebbe portare a iniezioni sql)

Ho provato molte varianti, tutte con lo stesso risultato che PDO sfugge a "%" portando risultati di ricerca indesiderati / non stimolati.

Ho pensato che valesse la pena condividere se qualcuno ha trovato una parola attorno ad essa, per favore condividila