mysql - 有没有办法使用准备好的语句来选择变量列？

Question

以下代码使用准备好的语句，似乎无法选择表 students 的 home_address:

SET @mycolumn = 'home_address' ;
SET @s = 'SELECT ? FROM students' ;
PREPARE statement FROM @s;
EXECUTE statement USING @mycolumn ;

事实上，这些指令将简单地返回一个名为“?”的列，其中填充了字符串“home_address”，并且包含与表 students 一样多的行。

我怎样才能使这项工作？我知道这种语法是可行的，因为以下示例(取自 Is it possible to execute a string in MySQL?)有效:

SET @username = 'test';
SET @password = 'asdf';
SET @Expression = 'SELECT id FROM Users WHERE name = ? AND pass = ?;' ;
PREPARE myquery FROM @Expression;
EXECUTE myquery USING @username, @password;

Answer 1

这是不可能的。不同之处在于您动态引用数据库的对象，而不是仅仅传递一个字符串。

准备好的语句通过使用您传入的字符串/值的占位符完整指定 SQL 语句来工作。然后，您的 RDBMS 可以解析查询并在您传入参数之前确定它的完整执行路径。一旦该步骤完成，它就会接收参数并获取数据。这就是准备好的语句如此安全的原因。执行路径是预先确定的，所以不可能传入更多 SQL 并更改它。

所以如果你不知道列或表，那么它就无法解析和构建执行路径。相反，您必须通过串联动态构建 SQL 并执行。如果您从用户输入中获取列名或表名，那么您必须尽可能地对其进行清理，并祈祷您的清理工作比您偷偷摸摸的用户注入(inject) sql 的能力更好。