ThinkPHP6中like模糊查询报错：如何避免SQL语法错误及SQL注入？

在ThinkPHP6中进行LIKE模糊查询时，可能会遇到SQL语法错误或SQL注入的风险。为了避免这些问题，可以采取以下措施：

1. 使用参数绑定

ThinkPHP6支持参数绑定，可以有效防止SQL注入。在查询时，使用参数绑定的方式来传递变量，而不是直接将变量拼接到SQL语句中。

$keyword = 'search_keyword';
$result = Db::name('table_name')
    ->where('column_name', 'like', '%' . $keyword . '%')
    ->select();

2. 使用bind方法

如果你需要动态构建查询条件，可以使用bind方法来绑定参数，这样可以确保参数的安全性。

$keyword = 'search_keyword';
$result = Db::name('table_name')
    ->where('column_name', 'like', ':keyword')
    ->bind(['keyword' => '%' . $keyword . '%'])
    ->select();

3. 使用escape方法

如果你必须拼接SQL语句，可以使用escape方法来对输入进行转义，以防止SQL注入。

$keyword = 'search_keyword';
$escapedKeyword = Db::escape('%' . $keyword . '%');
$result = Db::name('table_name')
    ->where('column_name', 'like', $escapedKeyword)
    ->select();

4. 使用Query对象的exp方法

如果你需要更复杂的查询条件，可以使用Query对象的exp方法来构建表达式，同时使用参数绑定来确保安全。

$keyword = 'search_keyword';
$result = Db::name('table_name')
    ->whereExp('column_name', 'LIKE :keyword')
    ->bind(['keyword' => '%' . $keyword . '%'])
    ->select();

5. 使用raw方法

如果你需要直接使用原生SQL语句，可以使用raw方法，并确保使用参数绑定。

$keyword = 'search_keyword';
$result = Db::name('table_name')
    ->whereRaw('column_name LIKE :keyword', ['keyword' => '%' . $keyword . '%'])
    ->select();

6. 避免直接拼接SQL语句

尽量避免直接拼接SQL语句，尤其是在用户输入的情况下。直接拼接SQL语句容易导致SQL注入。

// 不推荐的做法
$keyword = 'search_keyword';
$sql = "SELECT * FROM table_name WHERE column_name LIKE '%" . $keyword . "%'";
$result = Db::query($sql);

7. 使用ORM模型

如果你使用的是ThinkPHP6的ORM模型，可以直接使用模型的方法来进行查询，这样可以避免手动拼接SQL语句。

$keyword = 'search_keyword';
$result = ModelName::where('column_name', 'like', '%' . $keyword . '%')
    ->select();

总结

为了避免SQL语法错误和SQL注入，建议始终使用参数绑定、bind方法、escape方法等安全的方式来构建查询条件。尽量避免直接拼接SQL语句，尤其是在处理用户输入时。通过这些措施，可以有效提高代码的安全性。