为什么我不能将表名传递给准备好的PDO语句?
$stmt = $dbh->prepare('SELECT * FROM :table WHERE 1');
if ($stmt->execute(array(':table' => 'users'))) {
var_dump($stmt->fetchAll());
}
有没有其他安全的方法将表名插入到SQL查询中?有了保险箱,我的意思是我不想这么做
$sql = "SELECT * FROM $table WHERE 1"
为什么我不能将表名传递给准备好的PDO语句?
$stmt = $dbh->prepare('SELECT * FROM :table WHERE 1');
if ($stmt->execute(array(':table' => 'users'))) {
var_dump($stmt->fetchAll());
}
有没有其他安全的方法将表名插入到SQL查询中?有了保险箱,我的意思是我不想这么做
$sql = "SELECT * FROM $table WHERE 1"
Table and Column names CANNOT be replaced by parameters in PDO.个
在这种情况下,您只需要手动过滤和清理数据.一种方法是将速记参数传递给将动态执行查询的函数,然后使用switch()
语句创建有效值的白名单,用于表名或列名.这样一来,用户输入就不会直接进入查询.例如:
function buildQuery( $get_var )
{
switch($get_var)
{
case 1:
$tbl = 'users';
break;
}
$sql = "SELECT * FROM $tbl";
}
通过不保留默认大小写或使用返回错误消息的默认大小写,您可以确保只使用您希望使用的值.