使用表参数化 PDO 中的列/表名称

Question

不能use parameters to describe column or table names in PDO。

例如：

CREATE TABLE ? (id INT(6) PRIMARY KEY AUTO_INCREMENT, ...)

如何使用临时表处理恶意数据，然后将其反馈到语句中？

$hex = bin2hex(random_bytes(8));
$stmt = $db->prepare('INSERT INTO tmpdata (value,hex) VALUES (:val,:hex)');
$stmt->execute(array(
  ":val" => $_POST['catname'],
  ":hex" => $hex
));
$stmt = $db->prepare('SELECT value FROM tmpdata WHERE hex=?');
$stmt->execute(array($hex));
$row = $stmt->fetchAll(PDO::FETCH_ASSOC);
$cleaned_value = $row[0]['value'];

这是一种可接受且更重要的是安全的方式将参数输入 PDO 以获取列名和表名吗？

Answer 1

一点也不。

如果你拿一个装有毒药的瓶子喝下去，你会死的。
是什么让您认为在饮用前将其存放在橱柜中会使其无害？

更直接地针对您的问题，您应该永远不要根据用户输入创建表格。不是因为任何危险，而是因为理智。您的数据库设计应该是固定的和静态的，一劳永逸，只偶尔更改，仅限管理员。

所以你现在最关心的是学习数据库设计基础知识。