Der Grund, warum der Tabellenname nicht mit Parametern gebunden werden kann, ist, dass die Vorverarbeitungsparameter nur für die Position des Wertes verwendet werden k?nnen und der Tabellenname zum SQL -Strukturteil geh?rt. 1. überprüfung der Whitelist: Begrenzen Sie den Bereich der optionalen Tabellennamen; 2. Verwenden Sie Backticks, um Tabellennamen zu wickeln, um Schlüsselwortkonflikte zu vermeiden. 3. MAP -Tabellennamen aus dem Programm anstatt direkt die Benutzereingabe zu verwenden. 4. überprüfen Sie die Eingabe- und Ausnahmezugriff immer, um die Sicherheit zu gew?hrleisten.

Bei der Ausführung von SQL -Abfragen mit PHP -Vorverarbeitungsanweisungen wird normalerweise empfohlen, Variablen in die Form der Parameterbindung zu übergeben, um die SQL -Injektion zu verhindern. Wenn Sie jedoch den Tabellennamen dynamisch angeben müssen, werden die Dinge etwas anders.

Da der Vorverarbeitungsmechanismus von PDO oder MySQLI nicht zul?sst, dass der Tabellenname direkt als Parameter gebunden ist, dh Sie k?nnen nicht so schreiben:

 $ stmt = $ pdo-> vorbereiten ("aus? * aus?");
$ stmt-> execute ([$ table_name]);

Dadurch wird ein Fehler angegeben, oder der Tabellenname kann nicht korrekt analysiert werden. Was soll ich tun? Hier sind einige praktische Ideen und Praktiken zur Verfügung.

Warum k?nnen wir die Tabellennamen nicht mit Parametern binden?

SQL -Vorverarbeitungsparameter ( ? :name ) k?nnen nur für die Position der Werte verwendet werden, z. B. Zeichenfolgen, Zahlen, Daten usw. Der Tabellenname ist Teil der SQL -Anweisungsstruktur, nicht als "Wert".

Zum Beispiel:

 W?hlen Sie * von Benutzern, wobei ID =?

Hier ? ist ein Wert, der sicher gebunden werden kann; Aber wenn Sie das schreiben:

 W?hlen Sie * aus? Wo id =?

Der ? repr?sentiert den Tabellennamen. Wenn die Datenbank nicht wei?, wie sie analysiert werden sollen, tritt ein Fehler auf.

Wie benutze ich variable Tabellennamen sicher?

Da Sie den Tabellennamen nicht direkt binden k?nnen, k?nnen Sie SQL -Anweisungen nur manuell splei?en. Um die SQL -Injektion jedoch zu verhindern, ben?tigen Sie eine zus?tzliche überprüfung oder Filterung.

Gemeinsame Praktiken sind:

• überprüfung der Whitelist: Nur bestimmte spezifische Tabellennamen dürfen erscheinen.
• Verwenden Sie Backticks, um Tabellennamen zu wickeln (verwendet in MySQL)
• Anstatt die vom Benutzer eingegebenen Originaldaten zu verwenden, wurden innerhalb des Programms abgebildet

Zum Beispiel:

 $ erlaubt_tables = ['Benutzer', 'Bestellungen', 'Produkte'];
$ table_name = $ _get ['table'];

if (! in_array ($ table_name, $ erlaubte_tables)) {
    Die ('ungültiger Tabellenname');
}

$ sql = "SELECT * aus" $ table_name "wobei id =?";
$ stmt = $ pdo-> vorbereiten ($ sql);
$ stmt-> execute ([1]);

Der Schlüssel dazu ist die Steuerung der Eingabemittel, anstatt für Benutzer vollst?ndig ge?ffnet zu sein, um frei auszufüllen.

Was soll ich in praktischen Anwendungen achten?

In der tats?chlichen Entwicklung gibt es, obwohl es nicht viele Szenarien für die Verwendung von variablen Tabellennamen gibt, aber vorhanden, z. B. Multi-Mandanten-Systeme, dynamische Abfragetools, CMS-Module usw.

Ein paar Dinge zu beachten:

• Vertrauen Sie nicht den Benutzereingaben : überprüfen Sie sie auch in der Hintergrundverwaltungsschnittstelle.
• Versuchen Sie zu vermeiden, dass Benutzer die Tabellennamen direkt eingeben k?nnen : Sie k?nnen stattdessen Dropdown-Boxen oder Optionen verwenden.
• Verwenden Sie Backticks, um Tabellennamen zu wickeln : Verhindern Sie Fehler, wenn Tabellennamen Schlüsselw?rter sind, z. B. order sind MySQL -Schlüsselw?rter.
• Protokolle aufzeichnen und abnormale Eingaben überwachen : Sobald der illegale Zugriff gefunden wurde, fangen Sie ihn rechtzeitig ab.

Zusammenfassung

Die Vorverarbeitungsanweisungen von PHP unterstützen keine direkte Bindung von Tabellennamen, was auf das SQL -Syntaxdesign zurückzuführen ist. Wenn Sie wirklich variable Tabellennamen verwenden müssen, k?nnen Sie dies tun, indem Sie Backtick -Wraps durch Whitelisting überprüfen und gleichzeitig die Sicherheit erhalten.

Grunds?tzlich alles ist es. Obwohl es eine Kurve dauerte, solange die Logik klar ist, kann sie trotzdem sauber und sicher gemacht werden.

Das obige ist der detaillierte Inhalt vonPHP -vorbereitete Anweisung mit variabler Tabellenname. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!