PHP PDO - 绑定表名？

Question

是否可以绑定表名？

我想创建一个类来读取表中的列,并根据字段类型为我生成表单输入.当我这样做时$form = new form("users");,构造函数应该从使用以下代码从表中获取字段名称开始:

class form{

    public function __construct($table, $skip = array("id")){
        $pdo = new PDO('mysql:host=localhost;dbname=site;',USER,PASS);

        $query = $pdo->prepare("DESCRIBE :table");

        $query->bindValue(':table', $table, PDO::PARAM_STR, strlen($table));

        $query->execute();

        while($field = $query->fetch(PDO::FETCH_NUM)){
            var_dump($field);
            echo "<br /><br />";
        }

        unset($pdo);
    }
}

当我在prepare语句中指定"users"而不是":table"时,这很好用,但绑定它正在工作,我很确定这是因为它试图绑定一个表名.此外,这需要绑定,因为我希望能够通过我的表名传递$_GET等等.

Answer 1

是否可以绑定表名？

没有.

您必须将表名列入白名单.我怀疑你想让用户浏览你的数据库中的任何表.

您还必须手动格式化标识符.有一个标签维基与示例.为什么不先读它？

更新: 正如您所看到的,PDO对于现实生活任务来说不方便.因此,您必须拥有一个更智能的抽象库来处理MySQL查询.下面是使用safeMysql类的示例,它将使您的代码显着缩短:

class form{
    public function __construct($table){
        global $db;
        return $db->getAll("DESCRIBE ?n", $table);
    }
}

2注意事项:

• 我删除了第二个参数,因为您的函数中没有使用它的代码.
• 永远不要在课堂上联系.请改用已打开的连接.或者你会用如此多的连接杀死你的MySQL服务器.

排除已实施的版本

class form {
    public function __construct($table,$skip = array("id")){
        global $db;
        $data = array();
        $res = $db->query("DESCRIBE ?n", $table);
        while($row = $db->fetch($res)) {
            if (!in_array($row['Field'],$skip)) {
                $data[] = $row;
            }
        }
        return $data;
    }
}

但是,这样的类很少能按预期使用 - 总是有很多异常和手动格式化以使其可用.