PDO PHP bindValue 不起作用

我知道这个问题已经被问了 1000 次了，但出于某种原因，我继续用头撞墙。

这有效：

$sql = 'SELECT a.eventCode, a.eventTime, a.teamCode, a.playerCode, b.lastName, b.firstName, b.number, a.xCoord, a.yCoord, a.id ';
$sql = $sql . 'FROM events a, players b ';
$sql = $sql . 'WHERE a.regGUID in ( ' . $regGUID . ' ) and ';
$sql = $sql . 'a.playerCode=b.playerCode and a.gameCode = "' . $game . '" order by a.eventTime desc, a.actionCode asc'; 
$stmt = $db->prepare($sql);
$results = $stmt->execute();

这不：

$sql = 'SELECT a.eventCode, a.eventTime, a.teamCode, a.playerCode, b.lastName, b.firstName, b.number, a.xCoord, a.yCoord, a.id ';
$sql = $sql . 'FROM events a, players b ';
$sql = $sql . 'WHERE a.regGUID in ( :regGUID ) and ';
$sql = $sql . 'a.playerCode=b.playerCode and a.gameCode = :game order by a.eventTime desc, a.actionCode asc'; 
$stmt = $db->prepare($sql);
$stmt->bindValue(':regGUID', $regGUID, PDO::PARAM_STR);
$stmt->bindValue(':game', $game, PDO::PARAM_STR);
$results = $stmt->execute();

我缺少什么？谢谢

问题就在这里：

$sql = $sql . 'WHERE a.regGUID in ( :regGUID ) and ';
$stmt->bindValue(':regGUID', $regGUID, PDO::PARAM_STR);

我假设 $regGUID 是用逗号分隔的带引号的字符串列表。

每个查询参数仅接受一个标量值。不是lists的价值观。

所以你有两个选择：

1. 继续插入 $regGUID 字符串，即使您使用其他标量值的参数也是如此。但您仍然要小心避免 SQL 注入，因此您必须正确形成 $regGUID 字符串。您不能只对整个字符串调用 PDO::quote()，这会使其成为包含 UUID 和逗号的单引号字符串。您必须确保每个 UUID 字符串都被转义并单独引用，然后将列表一起内爆并将其插入到 IN 子句中。

   $regGUIDs = explode(',', $regGUID);
   $regGUIDs = array_map(function ($g) { return $db->quote($g); }, $regGUIDs);
   $regGUID = implode(',', $regGUIDs);
   $sql = $sql . 'WHERE a.regGUID in (' . $regGUID . ') and ';
   

2. explode()将 $regGUID 放入一个数组中，并为数组中的每个元素添加一个查询参数。插入查询参数占位符的动态列表。

   $regGUIDs = explode(',', $regGUID);
   $params = array_fill(1, count($regGUIDs), '?');
   $sql = $sql . ' WHERE a.regGUID in ( ' . implode(',', $params) . ' ) and ';
   

您可以在数组的循环中使用bindValue()，但请记住其他参数也应该按位置绑定，而不是按名称绑定。 PDO 存在一些错误，当您尝试在同一查询中混合两种不同样式的参数时，它会感到不高兴。

我没有使用bindValue()，而是将参数值数组传递给PDOStatement::execute()，这要容易得多。

$paramValues = $regGUIDs;
$paramValues[] = $game;
$results = $stmt->execute($paramValues);