一尘不染

在PDO语句中转义列名

mysql

我目前正在建立一个查询,其中字段/列和值部分都可能由用户输入的数据组成。

问题是转义字段名。我正在使用准备好的语句来正确地转义和引用值,但是在转义字段名时遇到了麻烦。

  • mysql_real_escape_string对我们来说需要mysql连接资源,因此被排除在外
  • PDO :: quote在字段名周围添加引号,这也使它们在查询中无用
  • 加斜杠有效,但不是很安全

任何人都知道最好的方法是在将字段名称传递给PDO :: prepare之前正确地将其插入查询中?


阅读 373

收藏
2020-05-17

共1个答案

一尘不染

进行分隔标识符的ANSI标准方法是:

SELECT "field1" ...

如果名称中有一个“,请将其加倍:

SELECT "some""thing" ...

不幸的是,在默认设置下,这在MySQL中不起作用,因为MySQL倾向于认为双引号可以代替字符串文字的单引号。在这种情况下,您必须使用反引号(如Björn所述)和反斜杠转义。

为了正确地进行反斜杠转义,您 需要mysql_real_escape_string,因为它与字符集有关。但是,这很重要,因为
mysql_real_escape_string或加号都不会转义反引号字符
。如果可以确定列名中绝不会出现非ASCII字符,则只需手动反斜杠将`和\字符转义即可。

无论哪种方式,这都与其他数据库不兼容。您可以通过设置配置选项ANSI_QUOTES来告诉MySQL允许ANSI语法。同样,默认情况下,SQL
Server也用双引号引起阻塞。它使用了另一种语法,即方括号。同样,您可以使用“ quoted_identifier”选项将其配置为支持ANSI语法。

简介:如果仅需要MySQL兼容性:

一个。使用反引号并在名称中禁止反引号,反斜杠和nul字符,因为转义它们是不可靠的

如果需要跨DBMS兼容性,请执行以下任一操作:

b。使用双引号,并要求MySQL / SQL-
Server用户适当地更改配置。禁止在名称中使用双引号字符(因为Oracle甚至无法转义也不能处理它们)。要么,

C。对MySQL vs SQL Server vs Others进行设置,并根据其产生反引号,方括号或双引号语法。禁止双引号和反斜杠/反引号/ nul。

您希望数据访问层具有此功能,但是PDO没有。

摘要摘要:任意列名称是一个问题,如果可以帮助,最好避免使用。

摘要摘要:gnnnnnnnnnnnh。

2020-05-17