mysqli_stmt_bind_param（） 当问号是查询的一部分时未提供

Question

类似的问题已经被问过很多次，但是在阅读了几乎每一个超过5个小时的问题之后，我还没有找到适合我的问题的答案。我不是一个有经验的php / mysql开发人员，但我使用mysqli_stmt_bind_param（）func管理了类似的情况。下面是查询：$query = 'SELECT Recipes.* , Categories.* FROM `Recipes` JOIN `Categories` ON JSON_EXTRACT(Recipes.category, \'$.category\') = \'Category ?\' WHERE Categories.category = ?';我用这个php代码：if ($stmt = mysqli_prepare($dbManager->getDBInstance(), $query)){        mysqli_stmt_bind_param($stmt,"ii", $id, $id);    }因为我在客户端有一个模型，比如：{    "category" : "...",    "recipes" : [{...},{...}]}错误是：致命错误：未捕获mysqli_sql_exception：未为预准备语句中的参数提供数据我已经使用更多参数进行了类似的查询，没有任何错误：但是，这是我第一次使用mysql中的JSON_EXTRACT函数。我相信错误是由 $ 引起的。未正确转义。要替换的参数引用同一变量$id，该变量是一个整数，在第一种情况下（“类别 1”）用于字符串插值，并在 WHERE 子句之后用作数字。考虑一下，通过使用mysqli_stmt_bind_param，phpmyadmin上的相同查询返回我想要的内容，但这会将我的代码打开mysql注入，这是我想避免的。另外，请注意，如果我只向函数传递一个参数，脚本就会被执行（结果错误），就像查询在某个时候被截断一样...我正确地转义了每个单引号，甚至尝试使用双引号，但错误总是一样的。任何关于如何防止注射并达到结果的提示将不胜感激，因为我真的无法自己弄清楚。谢谢

Answer 1

在调用 中有两个参数，但 中只有一个占位符。第一个是在引号内，所以它是按字面意思处理的，而不是占位符。mysqli_stmt_bind_param()$query?

您可以使用 将字符串文本与占位符连接起来，因此请将其更改为：CONCAT()

$query = '
    SELECT Recipes.* , Categories.* 
    FROM `Recipes` 
    JOIN `Categories` ON JSON_EXTRACT(Recipes.category, \'$.category\') = CONCAT(\'Category \', ?) 
    WHERE Categories.category = ?';

Answer 2

占位符只能表示完整的数据文本。简单地说 - 任何你会写在引号（或数字）中的东西。所以它不应该是，而只是在PHP中可以连接类别的地方。'Category ?'?

$query = 'SELECT * FROM `Recipes` JOIN `Categories` ON 

          JSON_EXTRACT(Recipes.category, \'$.category\') = ?

          WHERE Categories.category = ?';

$stmt = mysqli_prepare($dbManager->getDBInstance(), $query);

$category = "Category $id";

mysqli_stmt_bind_param($stmt,"si", $category, $id);