PHP PDO：保护动态标识符免受 SQL 注入

Question

目前我正在研究一个简单工具的概念，以执行一些用 PHP 编写的»维护«数据库操作（删除/截断/复制表等）。

这必然要求 SQL 语句中的标识符是动态用户输入。虽然准备好的语句非常适合将 SQL 语句与任何比较值的用户输入分开，但它们并不意味着用于表或列名等标识符。 （也就是说，我can't use准备了语句来准备标识符。）

保护动态标识符的常用方法是列入白名单，但这需要静态且已知的数据库结构。例如，我想实现一个类似Copy table A and name it B 的命令。这里有趣的部分是B。

假设用户已通过身份验证并允许执行此操作，我该如何保护它免受 SQL 注入？这可能吗？

我发现 an approach 建议在任何标识符中简单地引用重音符号 (`)，如下所示：

$table_name        = 'origin_table'; // can be checked against existing tables
$copy_table_name   = 'user_input';
$quoted_table_name = '`' . str_replace( '`', '``', $copy_table_name ) . '`';
$sql_statement     = "CREATE TABLE {$quoted_table_name} LIKE {$table_name}";

这是否足以防止可能的 SQL 注入？

更新

PDO::quote()（在答案中提到）不是一个选项。它不会转义重音 (`)：

$user_input = 'table`; TRUNCATE TABLE users --';
var_dump( $pdo->quote( $user_input ) );
//string(33) "'table`; TRUNCATE TABLE users --'"

更新 2 PostgreSQL 扩展有一个功能就是为了这个目的：https://secure.php.net/manual/en/function.pg-escape-identifier.php

Answer 1

正如您提到的 PDO 的 quote() 函数可用于转义列名和数据。或者使用准备好的语句，例如 CREATE TABLE ？喜欢 ？然后执行查询。

Answer 2

您总是希望转义 ` 标识符，甚至是表名和字段名，因为也许明天它们将成为保留字并破坏您的查询。只要您使用准备好的语句（PDO、mysqli 或其他），就可以了。请注意，PDO 不允许转义表或字段名称。

您只需要细化您的过滤机制，例如允许和不允许的表名等。

顺便说一句：不要像你想做的那样做：“CREATE TABLE {$quoted_table_name} LIKE {$table_name}”;.. 用户准备的带有占位符的语句（？，或：名称等）

编辑： 由于您需要保护标识符，我看到了两种方法：

1. 用 (`) 将它们括起来
2. 过滤和转义传入值（mysql_real_escape_string 或更好）。过滤将包括去除任何不必要的字符（您可能只想允许字母 [a-z]+ 或带数字的字母。