在PDO语句中转义列名

Question

我目前正在建立一个查询，其中字段/列和值部分都可能由用户输入的数据组成。

问题是转义字段名。我正在使用准备好的语句来正确地转义和引用值，但是在转义字段名时遇到了麻烦。

• mysql_real_escape_string对我们来说需要mysql连接资源，因此被排除在外
• PDO :: quote在字段名周围添加引号，这也使它们在查询中无用
• 加斜杠有效，但不是很安全

任何人都知道最好的方法是在将字段名称传递给PDO :: prepare之前正确地将其插入查询中？

Answer 1

进行分隔标识符的ANSI标准方法是：

SELECT "field1" ...

如果名称中有一个“，请将其加倍：

SELECT "some""thing" ...

不幸的是，在默认设置下，这在MySQL中不起作用，因为MySQL倾向于认为双引号可以代替字符串文字的单引号。在这种情况下，您必须使用反引号（如Björn所述）和反斜杠转义。

为了正确地进行反斜杠转义，您 将 需要mysql_real_escape_string，因为它与字符集有关。但是，这很重要，因为
mysql_real_escape_string或加号都不会转义反引号字符
。如果可以确定列名中绝不会出现非ASCII字符，则只需手动反斜杠将`和\字符转义即可。

无论哪种方式，这都与其他数据库不兼容。您可以通过设置配置选项ANSI_QUOTES来告诉MySQL允许ANSI语法。同样，默认情况下，SQL
Server也用双引号引起阻塞。它使用了另一种语法，即方括号。同样，您可以使用“ quoted_identifier”选项将其配置为支持ANSI语法。

简介：如果仅需要MySQL兼容性：

一个。使用反引号并在名称中禁止反引号，反斜杠和nul字符，因为转义它们是不可靠的

如果需要跨DBMS兼容性，请执行以下任一操作：

b。使用双引号，并要求MySQL / SQL-
Server用户适当地更改配置。禁止在名称中使用双引号字符（因为Oracle甚至无法转义也不能处理它们）。要么，

C。对MySQL vs SQL Server vs Others进行设置，并根据其产生反引号，方括号或双引号语法。禁止双引号和反斜杠/反引号/ nul。

您希望数据访问层具有此功能，但是PDO没有。

摘要摘要：任意列名称是一个问题，如果可以帮助，最好避免使用。

摘要摘要：gnnnnnnnnnnnh。