PHP PDO语句是否可以接受表或列名作为参数?

为什么不能将表名传递给准备好的PDO语句?

$stmt = $dbh->prepare('SELECT * FROM :table WHERE 1');
if ($stmt->execute(array(':table' => 'users'))) {
    var_dump($stmt->fetchAll());
}

还有另一种安全的方式来将表名插入到SQL查询中?安全我的意思是我不想做

$sql = "SELECT * FROM $table WHERE 1"
最佳答案
请参阅以下内容:
http://us3.php.net/manual/en/book.pdo.php#69304

表和列名称不能由PDO中的参数替换。

在这种情况下,您只需手动过滤和清理数据。一种方法是将简写参数传递给将动态执行查询的函数,然后使用switch()语句创建一个用于表名或列名的有效值的白名单。这样,没有用户输入直接进入查询。例如:

function buildQuery( $get_var ) 
{
    switch($get_var)
    {
        case 1:
            $tbl = 'users';
            break;
    }

    $sql = "SELECT * FROM $tbl";
}

通过不保留默认大小写或使用返回错误消息的默认大小写,您可以确保只使用要使用的值。

转载注明原文:PHP PDO语句是否可以接受表或列名作为参数? - 代码日志