PHP 表名从 mysql_real_escape_string 更改为 PDO

Question

这个问题已经有答案了:

Can PHP PDO Statements accept the table or column name as parameter? (9 个回答)

已关闭 9 年前。

我目前使用 mysql_real_escape_string 来转义 mysql 查询中的变量。我知道如何使用bindValue，但是当我尝试从变量插入表名时，我有一个关于保护的问题。例如

$tablename = mysql_real_escape_string($name_from_form);
$get = mysql_query("SELECT * FROM ".$tablename." WHERE keyword='something'");

任何人都可以帮我举一个如何执行 PDO 准备好的语句的示例吗？它的作用与上面相同？

Answer 1

您将无法转义表名称(我希望 $tablename 不是来自外部源 - 如果是，您将需要将允许的表名称列入白名单)。在 PDO 中，您的代码可能类似于:

$allowedTables = array('posts', 'users');
if(!in_array($tablename, $allowedTables)){
    throw new Exception('Invalid table name: ' . $tablename);
}

$keyword = 'something';
$stmt = $dbh->prepare("SELECT * FROM " . $tablename . " WHERE keyword = :keyword");
$stmt->bindParam(':keyword', $keyword);
$stmt->execute();