PHP 原生查询性能与安全优化实战

主要问题有两点：

1. SQL 注入风险：变量直接拼接到查询语句中（如 {$productId}），一旦输入包含恶意字符，后果严重。
2. N+1 查询瓶颈：在循环内部再次发起数据库请求获取油井名称，数据量大时响应极慢。

优化方案

我们采用预处理语句（Prepared Statements）和批量查询来重构这部分逻辑。

private function getQueryStatement($productId, $m_intSTime, $m_intETime) {
    // 使用占位符，避免注入
    if (!empty($productId)) {
        $sql = "SELECT a.SERIAL, a.COMMANDID, a.CELLID, a.USERID, a.LIBTIME, a.[RETURN], a.VALUE, a.USERALIAS, 
                (SELECT NAME FROM system_index WHERE ID = a.CELLID) AS NAME 
                FROM system_command AS a 
                WHERE a.CELLID IN (SELECT ID FROM system_index WHERE PARENTID = :pid) 
                AND a.LIBTIME BETWEEN :start AND :end";
        $params = ['pid' => $productId, 'start' => $m_intSTime, 'end' => $m_intETime];
    } else {
        $sql = "SELECT a.SERIAL, a.COMMANDID, a.CELLID, a.USERID, a.LIBTIME, a.[RETURN], a.VALUE, a.USERALIAS, b.NAME 
                FROM system_command AS a 
                JOIN system_index AS b ON a.CELLID = b.ID 
                WHERE a.LIBTIME BETWEEN :start AND :end";
        $params = ['start' => $m_intSTime, 'end' => $m_intETime];
    }
    return ['sql' => $sql, 'params' => $params];
}

private function getCommonValue($data) {
    $stmt = $this->pdo->prepare($data['sql']);
    $stmt->execute($data['params']);
    $arrID = $stmt->fetchAll(PDO::FETCH_ASSOC);

    if (empty($arrID)) return json_encode([]);

    // 收集所有需要查询的 CELLID
    $cellIds = array_column($arrID, 'CELLID');
    $placeholders = implode(',', array_fill(0, count($cellIds), '?'));
    
    // 一次性获取所有索引信息，替代循环查询
    $indexSql = "SELECT ID, Name, PARENTID, TYPE FROM system_index WHERE ID IN ($placeholders)";
    $indexStmt = $this->pdo->prepare($indexSql);
    $indexStmt->execute($cellIds);
    $indexMap = [];
    foreach ($indexStmt->fetchAll(PDO::FETCH_ASSOC) as $row) {
        $indexMap[$row['ID']] = $row;
    }

    // 内存中处理层级关系
    foreach ($arrID as &$item) {
        $cellId = $item['CELLID'];
        if (isset($indexMap[$cellId])) {
            $info = $indexMap[$cellId];
            if ($info['TYPE'] === '59') {
                $item['parent'] = $info['Name'];
            } else {
                $parentId = $info['PARENTID'];
                if (isset($indexMap[$parentId])) {
                    $item['parent'] = $indexMap[$parentId]['Name'];
                } else {
                    $item['parent'] = null;
                }
            }
        }
    }
    return json_encode($arrID);
}

关键改进点

• 参数绑定：使用占位符替代直接拼接，彻底杜绝注入。
• 减少交互次数：将循环内的多次查询合并为一次 IN 查询，大幅降低网络开销。
• 统一返回格式：保持接口一致性，便于上层调用。

优化后的代码不仅更安全，在高并发场景下的表现也会显著提升。