php - 准备好的语句和转义

Question

我已经阅读了很多遍 - 只是想澄清一下(我觉得我很困惑)

我今天切换到 mysqli，并开始使用准备好的语句。

我准备好的陈述的例子

function read($table, $var) {
    if($stmt = mysqli_prepare($link, "SELECT * FROM ? WHERE `uid`=?")) {
        mysqli_stmt_bind_param($stmt, "si", $table, $var);
        mysqli_stmt_execute($stmt);
        return mysqli_fetch_assoc($stmt);
    } else {
        echo '<script type="text/javascript>">alert("Something went wrong");</script>';
    }
}

$info = read("users", $_SESSION['uid']);
$char = read("characters", $_SESSION['uid']);

我还需要逃避什么吗？我知道，我知道，我在任何地方都读过它，你在使用准备好的语句时不需要转义，但是还有像 this 这样的问题。和 this这让我很担心。

Answer 1

您查询的唯一问题是您不能将表名作为参数传递。 只能参数化值。所以另一种方法是将 tableName 与您的查询连接起来。

"SELECT * FROM `" . $tableNameHere . "` WHERE `uid`=?"