PHP PDO 准备语句可以将动态表和列名称作为参数处理吗？

PHP PDO 语句参数限制：表和列名称

PHP 数据对象 (PDO) 中的准备语句通过防止 SQL 注入来增强安全性攻击。但是，不可能动态地将表名或列名作为参数传递给预准备语句。

为什么存在限制

PDO 的预准备语句旨在确保所有用户输入在作为 SQL 查询执行之前经过验证。允许表或列名称作为参数会产生安全漏洞，因为恶意用户可能会操纵查询并获得对敏感数据的未经授权的访问。

替代解决方案

至安全地将表名插入 SQL 查询中，您应该手动过滤和清理数据。一种方法是使用 switch() 语句创建允许的表名白名单：

function buildQuery($get_var) {
    switch ($get_var) {
        case 1:
            $tbl = 'users';
            break;
        default:
            throw new Exception('Invalid table name');
    }

    $sql = "SELECT * FROM $tbl";
}

通过使用此方法，您可以确保只有与预期值匹配的用户输入才能在询问。这种方法可以防止潜在的安全漏洞，同时仍然保持准备好的语句的优点。

以上是PHP PDO 准备语句可以将动态表和列名称作为参数处理吗？的详细内容。更多信息请关注PHP中文网其他相关文章！