Como faço para criar uma consulta parametrizada PDO com uma instrução LIKE?

Aqui está minha tentativa:

$query = $database->prepare('SELECT * FROM table WHERE column LIKE "?%"');

$query->execute(array('value'));

while ($results = $query->fetch()) 
{
    echo $results['column'];
}

Descobri logo depois de postar:

$query = $database->prepare('SELECT * FROM table WHERE column LIKE ?');
$query->execute(array('value%'));

while ($results = $query->fetch())
{
    echo $results['column'];
}

Para aqueles que usam parâmetros nomeados, veja como usar LIKEcom %correspondência parcial para bancos de dados MySQL :

WHERE nome_da_coluna LIKE CONCAT ('%',: cadeia perigosa, '%')

onde está o parâmetro nomeado :dangerousstring.

Em outras palavras, use %sinais explicitamente sem escape em sua própria consulta que são separados e definitivamente não são a entrada do usuário.

Editar: a sintaxe de concatenação para bancos de dados Oracle usa o operador de concatenação:, ||então ele simplesmente se tornará:

WHERE column_name LIKE '%' || : corda perigosa || '%'

No entanto, existem ressalvas, pois @bobince menciona aqui que:

A dificuldade surge quando você deseja permitir um literal %ou _caractere na string de pesquisa, sem que ele atue como um curinga.

Portanto, isso é outra coisa a se observar ao combinar curtir e parametrização.

$query = $database->prepare('SELECT * FROM table WHERE column LIKE ?');
$query->bindValue(1, "%$value%", PDO::PARAM_STR);
$query->execute();

if (!$query->rowCount() == 0) 
{
    while ($results = $query->fetch()) 
    {
        echo $results['column'] . "<br />\n";
    }       
} 
else 
{
    echo 'Nothing found';
}

Você também pode tentar este. Eu enfrento problema semelhante, mas obtive resultado após pesquisa.

$query = $pdo_connection->prepare('SELECT * FROM table WHERE column LIKE :search');

$stmt= $pdo_connection->prepare($query);

$stmt->execute(array(':search' => '%'.$search_term.'%'));

$result = $stmt->fetchAll(PDO::FETCH_ASSOC);

print_r($result);

Isso funciona:

search `table` where `column` like concat('%', :column, '%')

Eu peguei isso de ilusões php

$search = "%$search%";
$stmt  = $pdo->prepare("SELECT * FROM table WHERE name LIKE ?");
$stmt->execute([$search]);
$data = $stmt->fetchAll();

E funciona para mim, muito simples. Como ele diz, você deve "preparar nosso literal completo primeiro" antes de enviá-lo para a consulta

O PDO escapa "%" (pode levar à injeção de sql) : O uso do código anterior fornecerá os resultados desejados ao procurar strings parciais, MAS se um visitante digitar o caractere "%", você ainda obterá resultados mesmo que não Não tenho nada armazenado na base de dados (pode levar a injeções de sql)

Eu tentei muitas variações, todas com o mesmo resultado O PDO está escapando de "%" levando a resultados de pesquisa indesejados / não excitados.

Achei que valeria a pena compartilhar se alguém encontrou uma palavra sobre isso, compartilhe