Order by可变变量与PDO

Question

此代码正在检索从其他页面发送的数据：

$data=$DB->quote($_REQUEST['data']);
$playperPosition=$DB->quote($_REQUEST['playperPosition']);
$playerStatictic=$DB->quote($_GET['playerStatictic']);
$league=$DB->quote($_GET['league']);

如何从数据库中选择数据并按$playerStatictic排序

我正在使用这段代码，但不能工作：

 $i=0;
  $sql_playerstatistic="select * from ".$prev."playerstatistic where leagueID = $league ORDER BY $playerStatictic desc";

  $re_playerstatistic=$DB->prepare($sql_playerstatistic);
  $re_playerstatistic->execute();
  while($d_playerstatistic=$re_playerstatistic->fetch(PDO::FETCH_ASSOC))
  {
    $i++;
    $sql_team="select * from ".$prev."team where id=".$d_playerstatistic['teamID']."";
    $re_team=$DB->prepare($sql_team);
    $re_team->execute();
    $d_team=$re_team->fetch(PDO::FETCH_ASSOC);

谢谢,

Answer 1

这可能是你的问题：

$playerStatictic=$DB->quote($_GET['playerStatictic']);

当您希望在查询中使用值时，需要用引号将它们引起来，尽管带有绑定变量的预准备语句改为recommended。当您想要在查询中使用表名或字段名时，您不应该像引用值那样引用它们，而是在必要时使用反引号引用它们(假设mysql)。

但是，这使您可以进行sql注入，因此，当您想要在查询中注入表名和字段名时，需要做的是根据允许的表名和字段名的白名单对它们进行检查。