如何在 Doctrine 准备的 SQL 语句中使用 + 或 - 运算符作为参数？

Question

尝试使用以下代码：$operator = '+';$conn = $entityManager->getConnection();$stmt = $conn->prepare("    UPDATE articles a SET a.position = a.position :operator 1")->execute([    'operator' => $operator]);在 SQL 语句中UPDATE articles a SET a.position = a.position :operator 1，:operator参数应该替换为'+', 来自先前定义的$operator变量，但实际上它运行失败并返回此错误：执行 'UPDATE 文章 a SET a.position = a.position :operator + 1 with params ["+"] 时发生异常：SQLSTATE[42000]：语法错误或访问冲突：1064 你的 SQL 语法有错误；检查与您的 MySQL 服务器版本相对应的手册，了解在 ''+' 1 附近使用的正确语法

Answer 1

您不需要绑定您可以完全控制的文字字符。

而绑定是针对实参的。保留字、运算符、数据库标识符……所有这些都没有“绑定”到 SQL 语句中。由于这些永远不会来自用户输入，因此这样做毫无意义。

这只能从现有配置、白名单字符串等安全生成。

只需正常插入连接字符串中的字符：

$operator = '+';

$conn = $entityManager->getConnection();

$stmt = $conn

    ->prepare("UPDATE articles a SET a.position = a.position $operator 1")

    ->execute();

由于您没有参数，因此您可以完全不用准备语句：

$stmt = $conn

    ->executeQuery("UPDATE articles a SET a.position = a.position $operator 1");