如何在perl中绑定表名的值？

Question

这里我尝试为特定的查询绑定表名：

$sth = $dbh->prepare("SELECT id FROM ? WHERE service_id = ?");

和execute语句：

$sth->execute($table_name,$service_id);

它给出一个SQL错误，为什么呢？

有没有什么方法可以将表名绑定到特定的查询？

Answer 1

可以使用查询参数代替SQL表达式中的文字值。

也就是说，在通常使用带引号的字符串文字或带引号的日期文字或数字的位置。

参数不能用于表名、列名、值列表(如IN子句)、SQL关键字或SQL表达式。

要使表的名称动态化，必须在准备之前将其插入到SQL查询字符串中：

my $table_name_lit = $dbh->quote_identifier($table_name);
my $sth = $dbh->prepare("SELECT id FROM $table_name_lit WHERE service_id = ?");
$sth->execute($service_id);

注意，$table_name不包含任何不受信任的内容。最好的方法是将$table_name与已知表名的列表进行比较。换句话说，使用固定的表列表作为白名单。如果$table_name与您的任何表名都不匹配，则使用缺省表名。

Answer 2

@Karwin的响应是ok的，也是关于sql注入问题的说明。在插入选择字符串之前，您应该检查$table_name是否包含有效的表名。例如，如果使用MySQL，则可以使用以下命令获取DB中设置的当前表名：

my @tables = @{ $dbh->selectcol_arrayref('SHOW TABLES') };

使用"grep“检查$table_name是否包含正确的值也很容易。也可以(独立于数据库)使用tables method of DBI获取表目录。