MySQL PDO 쿼리 구문 오류? parameters

Question

초보자로서, 나는 PHP MySQL 튜토리얼을 따라 왔으며, 일반적인 MySQL PHP 함수의 사용을 조언했다. 그러나 PDO가 더 나은 대안이라고 들었 기 때문에 필자는 코드를 변환 해왔다.

SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '? WHERE id=? AND ?' at line 1 

왜 즉 :

$query = $uspdb->prepare("SELECT post_id, is_approved, reports FROM ? WHERE id=? AND ?"); 
    $query->bindValue(1, $table, PDO::PARAM_INT); 
    $query->bindValue(2, $id, PDO::PARAM_INT); 
    $query->bindValue(3, checkPermission("comment_moderation"),PDO::PARAM_BOOL); 
    $query->execute; 
    $result = $query->fetch(PDO::FETCH_ASSOC); 

첫 번째 줄은 다음과 PDO 예외가 발생합니다 : 난 그냥 다음과 같은 문제에 달렸다? 구문에 무엇이 잘못 될 수 있는지 전혀 알지 못합니다. tutorial I'm reading은 ". $ id"보다는 매개 변수를 추가하기 위해 bindValue 나 execute (array (stuff))를 사용해야한다고 알려줍니다. 좋아하는 사람은 더 안전하기 때문에 어떤 이유로 든 작동하지 않습니다.

Answer 1

아쉽게도 준비된 문은 데이터 리터럴 만 나타낼 수 있습니다. (에뮬레이트 된 준비의 경우). 개발자는 식별자를 스스로 처리해야합니다. PDO는 도움이 안 됨을 제공합니다.

한 2 개 엄격한 규칙을 따라야하는 동적 식별자가 안전하게하려면

1. 제대로 식별자를 포맷하려면. 수단
   • 은 백틱의 식별자를 묶습니다.
   • 두 배로 안쪽에 백신을 탈출하십시오.
2. 하드 코드 된 허용 목록에 대해 확인하십시오.

서식을 지정한 후에 $ table 변수를 쿼리에 삽입하는 것이 안전합니다. 그래서, 코드는 다음과 같습니다 가장 다른 경우에 대한 서식을 ORDER BY와 같은 경우에 충분한 것 같은 있지만, 그러나

$field = "`".str_replace("`","``",$field)."`"; 
$sql = "SELECT * FROM t ORDER BY $field"; 

, 사출의 다른 종류에 대한 가능성이 있습니다 :에 사용자를시키는가 테이블이나 필드를 선택하면 암호 또는 기타 개인 데이터와 같은 중요한 정보가 표시 될 수 있습니다. 동적 식별자를 허용 된 값의 목록과 대조하여 항상 확인하는 것이 좋습니다. 다음은 간단한 예입니다.

$allowed = array("name","price","qty"); 
$key = array_search($_GET['field'], $allowed)); 
if ($key === false) { 
    throw new Exception('Wrong field name'); 
} 
$field = $allowed[$key]; 
$query = "SELECT $field FROM t"; //value is safe 

Answer 2

일반적으로 질문을 제기 한 후 몇 초 만에 문제가 해결됩니다.

문제는 테이블이나 열 이름이 아닌 키 값만 바인딩 할 수 있다는 것입니다. 자세한있는 테이블 또는 열 이름이 사용자의 재량에 맡길 경우 추가 단계를 이동해야

$query = $uspdb->prepare("SELECT post_id, is_approved, reports FROM $table WHERE id=? AND ?"); 
$query->execute(array($id,checkPermission("comment_moderation"))); 
$result = $query->fetch(PDO::FETCH_ASSOC); 

그것을 소독하기 : 난 그냥 이전처럼 수동으로 테이블 및 열 이름을 삽입 유지해야합니다 위의 상식의 반응. 내 경우에는 다음과 같은 코드가 사용되었습니다.

$type = $_GET[type]; 

switch($type) { 
    case "review": 
     $table = "site_cmt_reviews"; 
     break; 
    default: 
     $table = "site_cmt_articles"; 
} 

여전히 감사합니다!