gpt4 book ai didi

php - PHP PDO 语句可以接受表名或列名作为参数吗?

转载 作者:行者123 更新时间:2023-11-30 00:26:32 25 4
gpt4 key购买 nike

为什么我无法将表名传递给准备好的 PDO 语句?

$stmt = $dbh->prepare('SELECT * FROM :table WHERE 1');
if ($stmt->execute(array(':table' => 'users'))) {
var_dump($stmt->fetchAll());
}

还有其他安全的方法可以将表名插入 SQL 查询吗?对于安全,我的意思是我不想做

$sql = "SELECT * FROM $table WHERE 1"

最佳答案

表和列名称不能用 PDO 中的参数替换。

在这种情况下,您只需手动过滤和清理数据。实现此目的的一种方法是将简写参数传递给将动态执行查询的函数,然后使用 switch() 语句创建用于表名称的有效值白名单或列名。这样,用户输入就不会直接进入查询。例如:

function buildQuery( $get_var ) 
{
switch($get_var)
{
case 1:
$tbl = 'users';
break;
}

$sql = "SELECT * FROM $tbl";
}

通过不保留默认情况或使用返回错误消息的默认情况,您可以确保只使用您想要使用的值。

关于php - PHP PDO 语句可以接受表名或列名作为参数吗?,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/22828027/

25 4 0
Copyright 2021 - 2024 cfsdn All Rights Reserved 蜀ICP备2022000587号
广告合作:1813099741@qq.com 6ren.com