Sebab mengapa nama jadual tidak boleh terikat dengan parameter adalah bahawa parameter pra -proses hanya boleh digunakan untuk lokasi nilai, dan nama jadual milik bahagian struktur SQL. 1. Pengesahan Whitelist: Hadkan julat nama jadual pilihan; 2. Gunakan backticks untuk membungkus nama meja untuk mengelakkan konflik kata kunci; 3. Nama jadual peta dari dalam program dan bukannya menggunakan input pengguna secara langsung; 4. Sentiasa sahkan akses pengecualian input dan rekod untuk memastikan keselamatan.

Apabila melaksanakan pertanyaan SQL dengan penyataan pra -proses PHP, biasanya disyorkan untuk lulus pembolehubah ke dalam bentuk parameter yang mengikat untuk mencegah suntikan SQL. Tetapi jika anda perlu menentukan secara dinamik nama jadual, perkara menjadi sedikit berbeza.

Kerana mekanisme preprocessing PDO atau MySQLI tidak membenarkan nama jadual terikat secara langsung sebagai parameter, iaitu, anda tidak boleh menulis seperti ini:

 $ stmt = $ pdo-> prepare ("pilih * dari?");
$ stmt-> Execute ([$ table_name]);

Ini akan melaporkan ralat atau nama jadual tidak boleh dihuraikan dengan betul. Apa yang harus saya buat? Berikut adalah beberapa idea dan amalan praktikal yang ada.

Mengapa kita tidak boleh mengikat nama meja dengan parameter?

Parameter Preprocessing SQL ( ? Atau :name ) hanya boleh digunakan untuk kedudukan nilai , seperti rentetan, nombor, tarikh, dan lain -lain. Nama jadual adalah sebahagian daripada struktur pernyataan SQL, bukan "nilai".

Contohnya:

 Pilih * dari pengguna di mana id =?

Di sini ? adalah nilai yang boleh terikat dengan selamat; Tetapi jika anda menulis ini:

 Pilih * dari? Di mana id =?

? pertama mewakili nama jadual. Jika pangkalan data tidak tahu bagaimana untuk menghuraikannya, ralat akan berlaku.

Bagaimana cara menggunakan nama jadual pembolehubah dengan selamat?

Oleh kerana anda tidak boleh mengikat nama jadual secara langsung, anda hanya boleh menyampaikan pernyataan SQL secara manual. Tetapi untuk mengelakkan suntikan SQL, anda memerlukan pengesahan tambahan atau penapisan.

Amalan biasa adalah:

• Pengesahan Whitelist: Hanya nama jadual tertentu tertentu yang dibenarkan muncul.
• Gunakan backticks untuk membungkus nama meja (digunakan dalam mysql)
• Daripada menggunakan data asal yang dimasukkan oleh pengguna, dipetakan dari dalam program

Contohnya:

 $ dibenarkan_tables = ['pengguna', 'perintah', 'produk'];
$ table_name = $ _get ['Table'];

jika (! in_array ($ table_name, $ dibenarkan_tables)) {
    mati ('nama meja tidak sah');
}

$ sql = "pilih * dari` $ table_name` where id =? ";
$ stmt = $ pdo-> prepare ($ sql);
$ stmt-> Execute ([1]);

Kunci untuk melakukan ini adalah untuk mengawal sumber input, dan bukannya terbuka sepenuhnya kepada pengguna untuk mengisi secara bebas.

Apa yang perlu saya perhatikan dalam aplikasi praktikal?

Dalam perkembangan sebenar, walaupun tidak banyak senario untuk menggunakan nama jadual berubah, mereka wujud, seperti sistem multi-penyewa, alat pertanyaan dinamik, modul CMS, dll.

Beberapa perkara yang perlu diperhatikan:

• Jangan mempercayai Input Pengguna : Walaupun di antara muka pengurusan latar belakang, periksa.
• Cuba untuk mengelakkan membiarkan pengguna terus memasukkan nama jadual : Anda boleh menggunakan kotak drop-down atau pilihan sebaliknya.
• Gunakan backticks untuk membungkus nama meja : mencegah kesilapan apabila nama meja adalah kata kunci, seperti order adalah kata kunci MySQL.
• Rekod log dan memantau input yang tidak normal : Sekali akses haram dijumpai, memintasnya dalam masa yang singkat.

Ringkasan

Kenyataan pra -proses PHP tidak menyokong pengikatan langsung nama jadual, yang disebabkan oleh reka bentuk sintaks SQL. Sekiranya anda benar -benar perlu menggunakan nama meja yang berubah -ubah, anda boleh melakukan ini dengan memeriksa pembungkusan backtick dengan senarai putih sambil mengekalkan keselamatan.

Pada dasarnya semua ini. Walaupun ia telah mengambil giliran, selagi logiknya jelas, ia masih boleh dilakukan dengan bersih dan selamat.

Atas ialah kandungan terperinci Penyataan PHP yang disediakan dengan nama jadual berubah -ubah. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!