我目前正在建立一个查询,其中字段/列和值部分都可能由用户输入的数据组成。
问题是转义字段名。我正在使用准备好的语句来正确地转义和引用值,但是在转义字段名时遇到了麻烦。
任何人都知道最好的方法是在将字段名称传递给PDO :: prepare之前正确地将其插入查询中?
进行分隔标识符的ANSI标准方法是:
SELECT "field1" ...
如果名称中有一个“,请将其加倍:
SELECT "some""thing" ...
不幸的是,在默认设置下,这在MySQL中不起作用,因为MySQL倾向于认为双引号可以代替字符串文字的单引号。在这种情况下,您必须使用反引号(如Björn所述)和反斜杠转义。
为了正确地进行反斜杠转义,您 将 需要mysql_real_escape_string,因为它与字符集有关。但是,这很重要,因为 mysql_real_escape_string或加号都不会转义反引号字符 。如果可以确定列名中绝不会出现非ASCII字符,则只需手动反斜杠将`和\字符转义即可。
无论哪种方式,这都与其他数据库不兼容。您可以通过设置配置选项ANSI_QUOTES来告诉MySQL允许ANSI语法。同样,默认情况下,SQL Server也用双引号引起阻塞。它使用了另一种语法,即方括号。同样,您可以使用“ quoted_identifier”选项将其配置为支持ANSI语法。
简介:如果仅需要MySQL兼容性:
一个。使用反引号并在名称中禁止反引号,反斜杠和nul字符,因为转义它们是不可靠的
如果需要跨DBMS兼容性,请执行以下任一操作:
b。使用双引号,并要求MySQL / SQL- Server用户适当地更改配置。禁止在名称中使用双引号字符(因为Oracle甚至无法转义也不能处理它们)。要么,
C。对MySQL vs SQL Server vs Others进行设置,并根据其产生反引号,方括号或双引号语法。禁止双引号和反斜杠/反引号/ nul。
您希望数据访问层具有此功能,但是PDO没有。
摘要摘要:任意列名称是一个问题,如果可以帮助,最好避免使用。
摘要摘要:gnnnnnnnnnnnh。