查询使用SQL变量时的Mysqli PHP准备语句

Question

我想将我的 SQL 查询变成一个准备好的语句，但我意识到这并不像我最初想象的那么容易。这是当前形式的查询，所以不是准备好的语句。

$mysqli = new mysqli(...);

$result = mysqli_query( $mysqli,
"SELECT count(*) as total from test_users, image_uploads 
    WHERE test_users.APPROVAL = 'granted'
    AND test_users.NAME = image_uploads.OWNER
    AND (test_users.IMGAUTO = 'enabled' OR image_uploads.IAPPROVAL = 'granted')
");
$data = mysqli_fetch_assoc( $result );
$row_cnt = $data['total'];
$totalPages = ceil(($row_cnt / $cardmax));

所以我现在的问题是这个。当我做出准备好的语句时，我将无法再访问image_uploads.OWNER，因为我目前在查询中使用它。

$grant = 'granted';
$owner = ""; //<<--- how to get image_uploads.OWNER
$enabl = 'enabled';

$sql = 
"SELECT COUNT(*) FROM test_users, image_uploads
    WHERE test_users.APPROVAL=?
    AND test_users.NAME=?
    AND (test_users.IMGAUTO=? OR image_uploads.IAPPROVAL=?)
";
$stmt = $mysqli->prepare($sql);
$stmt->bind_param('ssss', $grant, $owner, $enabl, $grant);
$stmt->execute();
$row = $stmt->get_result()->fetch_row();
$row_cnt = $row[0];
$totalPages = ceil(($row_cnt / $cardmax));

有没有办法在我准备好的语句中得到这个image_uploads.OWNER。我该如何正确地做到这一点？

Answer 1

看起来image_uploads.OWNER 是数据库中 SQL 表中的一列。如果是这样，那么您可以将其保留在您的第一个版本中。你不需要参数化它。

只有来自数据库引擎外部的数据值（例如用户输入或文件中的数据）需要参数化，因为该数据可能是未知的，并且可能包含需要清理的恶意值/注入攻击。引用另一个表中的列名不会造成这样的威胁 - 您没有将未知的字符串值放入查询语法中。

注意实际上，您的原始查询都不依赖于外部输入或未知变量 - 所有数据都被硬编码到查询文本中。因此，您实际上不需要在此特定查询中对任何内容进行参数化。一切都是预先设置好的，因此不会有意外/未知文本成为可执行 SQL 的一部分的威胁。