为什么这个不行？sqlit3 php

Question

我想让用户通过他的电子邮件地址或用户名.但不起作用。每次我用一个字符串而不是一个数字，我就会变假。

这是一个学校项目，所以我不能使用任何框架：

这不适用于$objAcc->getUser('email'，'example@gmail.com')

这行得通

$objAcc->getUser('user_id', '1')

卫理德：

    public function getUser($by = NULL, $value = NULL, $quantity = 0) {
        global $database;

        try {
            $row = array();
            if (isset($by) && isset($value)) {
                $query = 'SELECT * FROM "user" WHERE :by=:value';
                $stmt = $database->prepare($query);

                $type = ($by == 'user_id' || $by == 'phone' || $by == 'fax' || $by == 'zip' || $by == 'admin') ? SQLITE3_INTEGER : SQLITE3_TEXT;
                $stmt->bindValue(':by', $by, SQLITE3_TEXT);
                $stmt->bindValue(':value', $value, $type);

                $result = $stmt->execute();
            } else {
                $query = 'SELECT * FROM "user"';
                $stmt = $database->prepare($query);

                $result = $stmt->execute();
            }

            if ($quantity) {
                for ($i = 0; $i < $quantity; $i++) {
                    $row[ $i ] = $result->fetchArray(SQLITE3_ASSOC);
                }
            } else {
                $i = 0;
                while ($entry = $result->fetchArray(SQLITE3_ASSOC)) {
                    $row[ $i ] = $entry;
                    $i++;
                }
            }

            if (empty($row[0])) {
                return FALSE;
            }

            return $row;

        } catch (Exception $e) {
            var_dump($e);
            die();
        }
    }

希望你们能帮我。

Answer 1

我认为你不能用绑定来表示列名。我建议动态创建SQL语句，但只在验证$by参数与现有列名匹配之后(避免SQL注入的风险)：

$numFields = array("user_id", "phone", "fax", "zip", "admin");
$charFields = array("email");
$allFields = array_merge($numFields, $charFields);

$row = array();
if (isset($by) && isset($value) && in_array($by, $allFields)) {
    $query = 'SELECT * FROM "user" WHERE ' . $by . '=:value';
    $stmt = $database->prepare($query);
    $type = in_array($numFields, $by) ? SQLITE3_INTEGER : SQLITE3_TEXT;
    $stmt->bindValue(':value', $value, $type);
} else {
    $query = 'SELECT * FROM "user"';
    $stmt = $database->prepare($query);
}
$result = $stmt->execute();