PHP PDO 语句可以接受表名或列名作为参数吗？

Table and Column names CANNOT be replaced by parameters in PDO.个

在这种情况下，您只需要手动过滤和清理数据.一种方法是将速记参数传递给将动态执行查询的函数，然后使用switch()语句创建有效值的白名单，用于表名或列名.这样一来，用户输入就不会直接进入查询.例如:

function buildQuery( $get_var ) 
{
    switch($get_var)
    {
        case 1:
            $tbl = 'users';
            break;
    }

    $sql = "SELECT * FROM $tbl";
}

通过不保留默认大小写或使用返回错误消息的默认大小写，您可以确保只使用您希望使用的值.