La raison pour laquelle le nom de la table ne peut pas être lié avec les paramètres est que les paramètres de prétraitement ne peuvent être utilisés que pour l'emplacement de la valeur, et le nom de la table appartient à la partie de la structure SQL. 1. Vérification de la liste blanche: limitez la plage des noms de table facultatifs; 2. Utilisez des backticks pour envelopper les noms de table pour éviter les conflits de mots clés; 3. Noms de table de cartes à partir du programme au lieu d'utiliser directement l'entrée utilisateur; 4. Vérifiez toujours l'accès aux entrées et enregistrez l'accès à l'exception pour assurer la sécurité.

Lors de l'exécution de requêtes SQL avec des instructions de prétraitement PHP, il est généralement recommandé de passer des variables dans la forme de liaison des paramètres pour empêcher l'injection SQL. Mais si vous avez besoin de spécifier dynamiquement le nom du tableau, les choses deviennent un peu différentes.

étant donné que le mécanisme de prétraitement de l'APD ou de MySQLI ne permet pas au nom du tableau d'être lié directement en tant que paramètre, c'est-à-dire que vous ne pouvez pas écrire comme ceci:

 $ stmt = $ pDo-> prépare ("select * from?");
$ stmt-> exécuter ([$ table_name]);

Cela rapportera une erreur ou le nom du tableau ne peut pas être analysé correctement. Que dois-je faire? Voici quelques idées et pratiques pratiques disponibles.

Pourquoi ne pouvons-nous pas lier les noms de table avec des paramètres?

Les paramètres de prétraitement SQL ( ? Ou :name ) ne peuvent être utilisés que pour la position des valeurs , tels que les cha?nes, les nombres, les dates, etc. Le nom du tableau fait partie de la structure de l'instruction SQL, pas une "valeur".

Par exemple:

 Sélectionnez * dans les utilisateurs où id =?

Ici ? est une valeur qui peut être liée en toute sécurité; Mais si vous écrivez ceci:

 Sélectionner *? Où id =?

Le ? représente le nom du tableau. Si la base de données ne sait pas comment l'analyser, une erreur se produira.

Comment utiliser des noms de table variables en toute sécurité?

étant donné que vous ne pouvez pas lier directement le nom du tableau, vous ne pouvez épisser manuellement les instructions SQL. Mais pour éviter l'injection SQL, vous avez besoin de vérification ou de filtrage supplémentaire.

Les pratiques courantes sont:

• Vérification de la liste blanche: seuls certains noms de table spécifiques peuvent appara?tre.
• Utilisez des backticks pour envelopper les noms de table (utilisés dans MySQL)
• Au lieu d'utiliser les données d'origine entrées par l'utilisateur, cartographié à partir du programme

Par exemple:

 $ allowing_tables = [?utilisateurs?, ?commandes?, ?produits?];
$ table_name = $ _get ['table'];

if (! in_array ($ table_name, $ allowing_tables)) {
    die (?nom de table non valide?);
}

$ sql = "select * dans` $ table_name` où id =? ";
$ stmt = $ pDo-> prépare ($ sql);
$ stmt-> exécuter ([1]);

La clé pour le faire est de contr?ler la source d'entrée, plut?t que d'être complètement ouverte aux utilisateurs pour remplir librement.

à quoi dois-je prêter attention dans les applications pratiques?

Dans le développement réel, bien qu'il n'y ait pas beaucoup de scénarios pour utiliser des noms de table variables, ils existent, tels que les systèmes multi-locataires, les outils de requête dynamique, les modules CMS, etc.

Quelques choses à noter:

• Ne faites pas confiance à la saisie des utilisateurs : même dans l'interface de gestion des antécédents, vérifiez-la.
• Essayez d'éviter de permettre aux utilisateurs de saisir directement les noms de table : vous pouvez utiliser des bo?tes déroulantes ou des options à la place.
• Utilisez des backticks pour envelopper les noms de table : empêchez les erreurs lorsque les noms de table sont des mots clés, tels que order est des mots clés MySQL.
• Enregistrer les journaux et surveiller les entrées anormales : une fois l'accès illégal trouvé, interceptez-le dans le temps.

résumé

Les instructions de prétraitement de PHP ne prennent pas en charge la liaison directe des noms de table, qui est due à la conception de la syntaxe SQL. Si vous avez vraiment besoin d'utiliser des noms de table variables, vous pouvez le faire en vérifiant l'emballage des back -tick par la liste blanche tout en maintenant la sécurité.

Fondamentalement, tout cela est. Bien qu'il ait pris un tour, tant que la logique est claire, cela peut encore être fait proprement et en toute sécurité.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!