在封装自己的数据库操作类时，WHERE条件查询是最常用也最容易出错的部分。很多初学者习惯用字符串拼接的方式把查询条件直接连进SQL语句，这种做法不仅难以维护，还会引入严重的安全风险。我们需要从查询构建的原理出发，把条件变成结构化的数据，再交给类内部去生成最终的SQL。
为什么不能直接拼接字符串
最直观的写法是在自定义数据库类里提供一个where()方法，接收一段字符串然后直接 appended 到 SQL 后面。例如用户传入name = 'tom'，方法里就拼成SELECT * FROM user WHERE name = 'tom'。这种方式在条件固定时看似没问题，但一旦值来自用户输入，就极易被注入。
假设攻击者提交的名字是tom' OR '1'='1，拼出来的 SQL 变成WHERE name = 'tom' OR '1'='1'，整张表都会被查出来。更麻烦的是，当有多个条件动态组合时，拼接逻辑会充斥大量的if判断和AND、OR连接符处理，代码迅速膨胀且容易漏掉空格或引号。下面是一段有问题的示例：
<?php
class BadDb {
private $sql = '';
public function where($cond) {
$this->sql .= ' WHERE ' . $cond;
}
public function getSql() {
return 'SELECT * FROM user' . $this->sql;
}
}
$db = new BadDb();
$name = $_GET['name']; // 用户传入 tom' OR '1'='1
$db->where("name = '$name'");
echo $db->getSql();
?>
上面的代码完全把用户输入当成了 SQL 的一部分，没有任何转义或占位符保护。同时，如果还要加第二个条件，就得在where方法里判断是不是已经有 WHERE 了，逻辑非常脆弱。
用条件数组重构查询构建
正确的思路是把每一个 WHERE 条件拆成三个要素：字段名、操作符、值。我们将它们放进一个数组，再由数据库类在最后编译 SQL 时使用占位符（如?或:name）并绑定参数。这样 SQL 结构和数据彻底分离，既安全又清晰。
我们可以设计一个addWhere($field, $op, $value, $logic = 'AND')方法，把条件存到类的$this->wheres列表中。编译时遍历列表，根据逻辑词连接，并生成对应的预处理语句。下面给出一个改进版的自定义数据库类核心片段：
<?php
class SafeDb {
private $wheres = [];
private $params = [];
public function addWhere($field, $op, $value, $logic = 'AND') {
$this->wheres[] = [
'field' => $field,
'op' => $op,
'value' => $value,
'logic' => $logic
];
}
public function buildSql() {
$sql = 'SELECT * FROM user';
if (!empty($this->wheres)) {
$parts = [];
foreach ($this->wheres as $i => $w) {
$placeholder = ':' . $w['field'] . $i;
$prefix = $i === 0 ? ' WHERE ' : ' ' . $w['logic'] . ' ';
$parts[] = $prefix . $w['field'] . ' ' . $w['op'] . ' ' . $placeholder;
$this->params[$placeholder] = $w['value'];
}
$sql .= implode('', $parts);
}
return $sql;
}
public function getParams() {
return $this->params;
}
}
$db = new SafeDb();
$db->addWhere('name', '=', 'tom');
$db->addWhere('age', '>', 18, 'AND');
echo $db->buildSql();
// 输出: SELECT * FROM user WHERE name = :name0 AND age > :age1
?>
在这个实现里，无论用户传什么值，都只会作为绑定参数存在，不会改变 SQL 语句的结构。即便想注入，也仅仅被当成字符串值处理。而且通过$logic参数，我们可以轻松支持 AND 与 OR 的混合，只需在调用时控制顺序即可。
如果业务需要复杂的括号分组，例如(a=1 OR b=2) AND c=3，可以在条件数组里增加group_start和group_end标记，编译时输出左右括号。这比纯字符串拼接要可靠得多，也方便单元测试。
与 PDO 预处理结合使用
生成带命名占位符的 SQL 只是第一步，真正执行时还要交给 PDO 这类支持预处理的扩展。自定义数据库类可以持有一个 PDO 实例，在query()方法里调用prepare和execute。这样我们的 WHERE 条件就走完了从结构定义到安全查询的完整链路。
示例执行代码：
<?php
$pdo = new PDO('mysql:host=127.0.0.1;dbname=test', 'root', '');
$db = new SafeDb();
$db->addWhere('name', '=', 'tom');
$db->addWhere('age', '>', 18, 'AND');
$stmt = $pdo->prepare($db->buildSql());
$stmt->execute($db->getParams());
$rows = $stmt->fetchAll(PDO::FETCH_ASSOC);
?>
通过这种方式，自定义数据库类既保留了灵活添加 WHERE 条件的接口，又彻底规避了手写 SQL 的风险。日后扩展 LIKE 查询、IN 查询时，只要在addWhere里对操作符做分支处理，生成IN (:field0,:field1)这类片段即可，整体架构不用动。
小结与最佳实践
在自定义数据库类中处理 WHERE 条件，核心原则就是结构化与参数分离。不要用字符串拼接代替查询构建器，应该用数组收集条件要素，统一编译为带占位符的语句，再配合 PDO 预处理执行。
实际项目中，还可以进一步抽象出orWhere()、whereIn()等语法糖方法，让业务层写起来更直观。只要守住不把值直接写进 SQL 这条底线，自定义数据库类就能既好用又安全。
database_classwhere_clausequery_builder修改时间：2026-08-11 22:39:45