PHP PDO 语句可以接受表名或列名作为参数吗？

小编典典

PHP PDO 语句可以接受表名或列名作为参数吗？

all

为什么我不能将表名传递给准备好的 PDO 语句？

$stmt = $dbh->prepare('SELECT * FROM :table WHERE 1');
if ($stmt->execute(array(':table' => 'users'))) {
    var_dump($stmt->fetchAll());
}

是否有另一种将表名插入 SQL 查询的安全方法？有了安全，我的意思是我不想做

$sql = "SELECT * FROM $table WHERE 1"

阅读 72

2022-05-18

共1个答案

小编典典

表名和列名不能被 PDO 中的参数替换。

在这种情况下，您只需手动过滤和清理数据。一种方法是将速记参数传递给将动态执行查询的函数，然后使用switch()语句创建要用于表名或列名的有效值的白名单。这样，用户输入就不会直接进入查询。例如：

function buildQuery( $get_var ) 
{
    switch($get_var)
    {
        case 1:
            $tbl = 'users';
            break;
    }

    $sql = "SELECT * FROM $tbl";
}

通过不保留默认情况或使用返回错误消息的默认情况，您可以确保仅使用您想要使用的值。

2022-05-18