相关疑难解决方法(0)

我目前正在构建一个查询,其中字段/列和值部分可能包含用户输入的数据.

问题在于逃避字段名称.我正在使用预准备语句以便正确地转义并引用值但是当转义字段名时我遇到了麻烦.

• mysql_real_escape_string需要一个mysql连接资源才能被我们排除
• PDO :: quote在字段名周围添加引号,这使得它们在查询中也无用
• addslashes有效但不太安全

任何人都知道在将字段名传递给PDO :: prepare之前将字段名正确插入查询的最佳方法是什么？