Đối phó với trích dẫn thêm bởi PDO :: chuẩn bị()

Question

Theo PDO PHP Tài liệu :: chuẩn bị() thêm dấu ngoặc kép để tất cả các thông số của bạn để bạn không cần phải lo lắng về việc làm việc đó:

Nếu một ứng dụng độc quyền sử dụng các câu lệnh chuẩn bị, nhà phát triển có thể chắc chắn rằng không có SQL injection nào xảy ra (tuy nhiên, nếu các phần khác của truy vấn đang được sử dụng) được xây dựng với đầu vào không thoát, SQL injection vẫn có thể). "

Vấn đề với điều này đối với tôi là cách tôi đang xây dựng các truy vấn và cấu trúc cơ sở dữ liệu của mình. Thông thường, phần FROM của một câu lệnh SQL sẽ không cần phải được parametrized vì Bảng có thể sẽ được xác định bởi đầu vào người dùng trực tiếp. Tuy nhiên với mã của tôi là trường hợp ở một số nơi và do đó tôi cảm thấy thoải mái hơn với phiên bản parametrized.

SELECT * FROM ? WHERE ?=? 

thay vì SELECT * FROM tablename WHERE? =?

Vì vậy, câu hỏi của tôi là điều này, có thể ngăn PDO Object của tôi thêm dấu ngoặc kép xung quanh tham số FROM để tôi không nhận được các lỗi SQL được ném vào mặt tôi không? Hay tôi phải làm điều này theo một cách khác.

Answer 1

Trình giữ chỗ trong các câu lệnh đã chuẩn bị chỉ dành cho các giá trị. Cách duy nhất để chèn tên bảng động là tự làm điều đó

"SELECT FROM `".$table."` WHERE `".$column."` = ?" 

Answer 2

@KingCrunch hầu như đúng trong câu trả lời của anh ấy. Bạn nên thực sự thoát khỏi chuỗi của riêng bạn. Một cái gì đó như thế này nên bảo vệ chống lại hầu hết các mũi tiêm:

//make sure $table and $column only contain alphanumeric chars 
$table = preg_replace("/[^A-Za-z0-9]/", '', $table); 
$column = preg_replace("/[^A-Za-z0-9]/", '', $column); 

$query = "SELECT FROM `{$table}` WHERE `{$column}` = ?"