我可以在预准备语句中参数化表名吗？

Question

我已经多次使用了mysqli_stmt_bind_param函数。然而，如果我分离我试图防止SQL注入的变量，我会遇到错误。

下面是一些代码示例：

function insertRow( $db, $mysqli, $new_table, $Partner, $Merchant, $ips, $score, $category, $overall, $protocol )
{
    $statement = $mysqli->prepare("INSERT INTO " .$new_table . " VALUES (?,?,?,?,?,?,?);");
    mysqli_stmt_bind_param( $statment, 'sssisss', $Partner, $Merchant, $ips, $score, $category, $overall, $protocol );
    $statement->execute();
}

是否有可能以某种方式将.$new_table.连接替换为另一个问号语句，创建另一个绑定参数语句，或者添加到现有语句上以防止SQL注入？

像这样或某种形式的这样：

function insertRow( $db, $mysqli, $new_table, $Partner, $Merchant, $ips, $score, $category, $overall, $protocol )
{    
    $statement = $mysqli->prepare("INSERT INTO (?) VALUES (?,?,?,?,?,?,?);");
    mysqli_stmt_bind_param( $statment, 'ssssisss', $new_table, $Partner, $Merchant, $ips, $score, $category, $overall, $protocol );
    $statement->execute();
}

Answer 1

对你的问题的简短回答是“不”。

从最严格的意义上讲，在数据库级别，预准备语句只允许将参数绑定到SQL语句的"values“位。

考虑这一点的一种方式是“在语句的运行时执行时可以替换的东西，而不会改变其含义”。表名不是这些运行时值之一，因为它决定了SQL语句本身的有效性(即，哪些列名是有效的)，并且在执行时更改它可能会改变SQL语句是否有效。

在稍微高一点的级别上，即使在模拟预准备语句参数替换而不是实际将预准备语句发送到数据库的数据库接口中，例如PDO，可以想象允许您在任何地方使用占位符(因为在那些系统中，占位符在被发送到数据库之前被替换)，表占位符的值将是一个字符串，并且被包含在发送到数据库的SQL中，所以使用mytable作为参数的SELECT * FROM ?实际上将SELECT * FROM 'mytable'发送到数据库，这是无效的SQL。

你最好的选择就是继续

SELECT * FROM {$mytable}

但是，如果绝对是来自用户输入的，那么应该有一个表白名单，如果该$mytable来自用户输入，那么首先要检查这些表。

Answer 2

(延迟回答，请参阅我的附注)。

当尝试创建“数据库”时，同样的规则也适用。

不能使用预准备语句绑定数据库。

即：

CREATE DATABASE IF NOT EXISTS ?

不会起作用。请改用安全列表。

旁注：我添加了这个答案(作为一个社区维基)，因为它经常用来结束问题，一些人在试图绑定数据库而不是表和/或列时发布类似于此的问题。