可以在PDO准备好的语句中参数化哪些令牌？

Question

我在玩PHP / PDO中准备好的语句。基本查询工作正常，将值传递给WHERE子句：

$stmt = $db->prepare( 'SELECT title FROM episode WHERE id=:id' );
$stmt->bindParam( ':id', $id, PDO::PARAM_INT );
$id = 5;
$stmt->execute();

但是我有一种情况，我需要为字段名称传递变量。此查询（具有适当的绑定）可以正常工作：

SELECT :field FROM episode WHERE id=:id

这给出了一个错误：

SELECT title FROM :field WHERE id=:id

这个不会给出错误，但是不会返回任何行：

SELECT title FROM episode WHERE :field=:id

那么，哪些事情应该在准备好的语句中起作用？我可以“参数化”字段名称，表名称等吗？

Answer 1

表名和列名不能用PDO中的参数替换。

在这种情况下，您只需要手动过滤和清理数据。一种实现方法是将简写参数传递给将动态执行查询的函数，然后使用一条switch()语句创建要用于表名或列名的有效值白名单。这样，就不会有用户输入直接进入查询。因此，例如：

function buildQuery( $get_var ) 
{
    switch($get_var)
    {
        case 1:
            $tbl = 'users';
            break;
    }

    $sql = "SELECT * FROM $tbl";
}

通过不保留默认大小写或使用返回错误消息的默认大小写，可以确保仅使用要使用的值。