作者热门文章
- html - 出于某种原因,IE8 对我的 Sass 文件中继承的 html5 CSS 不友好?
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景?
为什么我不能将表名传递给准备好的 PDO 语句?
$stmt = $dbh->prepare('SELECT * FROM :table WHERE 1');
if ($stmt->execute(array(':table' => 'users'))) {
var_dump($stmt->fetchAll());
}
还有其他安全的方法可以将表名插入到 SQL 查询中吗?有了安全,我的意思是我不想做
$sql = "SELECT * FROM $table WHERE 1"
最佳答案
表名和列名不能被 PDO 中的参数替换。
在这种情况下,您只需要手动过滤和清理数据。一种方法是将速记参数传递给将动态执行查询的函数,然后使用 switch()
语句创建用于表名的有效值白名单或列名。这样,用户输入就不会直接进入查询。例如:
function buildQuery( $get_var )
{
switch($get_var)
{
case 1:
$tbl = 'users';
break;
}
$sql = "SELECT * FROM $tbl";
}
通过不保留默认情况或使用返回错误消息的默认情况,您可以确保只使用您想要使用的值。
关于php - PHP PDO 语句可以接受表名或列名作为参数吗?,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/12682210/
我是一名优秀的程序员,十分优秀!