为什么不能将表名传递给准备好的PDO语句?
$stmt = $dbh->prepare('SELECT * FROM :table WHERE 1'); if ($stmt->execute(array(':table' => 'users'))) { var_dump($stmt->fetchAll()); }
还有另一种安全的方法可以将表名插入SQL查询吗?有了安全,我的意思是我不想做
$sql = "SELECT * FROM $table WHERE 1"
表名和列名不能用PDO中的参数替换。
在这种情况下,您只需要手动过滤和清理数据。一种实现方法是将简写参数传递给将动态执行查询的函数,然后使用一条switch()语句创建要用于表名或列名的有效值白名单。这样,就不会有用户输入直接进入查询。因此,例如:
switch()
function buildQuery( $get_var ) { switch($get_var) { case 1: $tbl = 'users'; break; } $sql = "SELECT * FROM $tbl"; }
通过不保留默认大小写或使用返回错误消息的默认大小写,可以确保仅使用要使用的值。