电子邮件地址作为表名，如何使用准备好的/“安全”语句？

Question

（在此处插入通常的“我没有很多 SQL 经验”。）

我有一个负责发送大量电子邮件的系统，并且我正在添加功能来保存每封电子邮件的记录，并按收件人隔离。

现在我正在设置它，以便这些电子邮件日志将插入一个表格，其中他们的电子邮件是表格名称。但是现在，Node.js 的 pg 库似乎不允许在准备好的语句中使用表名。

我的问题有两个，a) 当我的名字将基于电子邮件地址时，我是否应该担心注入？ b) 如果是这样，我该如何解决这里的安全问题？

我目前的处理方式示例：

function _upsertTable(email, cb) {
  // Normalize email address.
  var tableName = 'email."' + email.toLowerCase() + '"';

  client.query([
    ("CREATE TABLE IF NOT EXISTS " + tableName),
      "(",
        "htmlMessage text,",
        "textMessage text,",
        "templateId character(24),",
        "files oid",
      ")"
  ].join(' '), cb);
}

// Insert email record into table
function _recordEmail(email, cb) {
  var tableName = 'email."' + email.toLowerCase() + '"';

  client.query([
    'INSERT INTO ' + tableName,
    'VALUES (',
      '$1,',
      '$2,',
      '$3,',
      'null',
    ')'
  ].join(' '), [html, text, templateId], cb);
}

编辑：

我想指出，回想起来这是一个可怕的想法，并敦促其他人在考虑这样做时不要采取这种方法。请阅读 cmets 以了解为什么这是一个坏主意。

Answer 1

准备好的语句参数替换通常只适用于语句的数据部分，而不适用于引用 SQL 模式对象的地方。

您可以通过足够的转义和引用自行构建它，但我建议您不要这样做。

恢复您描述的数据的更好方法是在一个表中，其中电子邮件地址为一列。可能将电子邮件地址分隔到一个单独的表中，并通过整数 ID 指向它们以节省一些空间。