具有可变数字表名称的 PHP-SQL 准备语句

Question

这个问题已经有答案了:

Can I parameterize the table name in a prepared statement? [duplicate] (2 个回答)

已关闭 5 年前。

我需要帮助才能使此代码正常工作:

<?php

$a = $_GET["a"];

$stmt = mysqli_stmt_init($conn);

if (mysqli_stmt_prepare($stmt,"SELECT * FROM `?`")) {

   mysqli_stmt_bind_param($stmt, "i", $a);
   mysqli_stmt_execute($stmt);
   $res = mysqli_stmt_get_result($stmt);

   while($row = mysqli_fetch_array($res)){
      if($row["id"] == 0){
         $title = $row["title"];
         $mal = $row["mal"];
      }
   }

   mysqli_stmt_close($stmt);
}

?>

在我的数据库中，我有一些带有数字名称的表(1,2,3...)，我想通过 URL 中的变量 $a 获取我想要的表。

Answer 1

您不能使用准备好的语句绑定(bind)对象名称(在本例中为表名称)，只能使用值。您必须求助于字符串操作(为简洁起见，省略了 SQL 清理):

if (mysqli_stmt_prepare($stmt,"SELECT * FROM `$a`")) { # Here!

   mysqli_stmt_execute($stmt);
   $res = mysqli_stmt_get_result($stmt);