PHP变量作为SQL查询中的表名

Question

PHP变量可以用作SQL查询中的表名吗？ 在我的情况下，FROM后面的PHP变量应该是我的JQuery代码发送的值。 我想根据从JQuery发送的值来更改SQL查询（不同的值取决于选择选择框的哪个选项）。

$file_absolute = ---Placeholder for correct file path---;
include_once($file_absolute);
$mysql = new mysqli($db_host, $db_username, $db_password, $db_name);
$verb_value = $_POST['verb_value'];

$mysql->query("SET CHARACTER SET 'utf8'");

$result = $mysql->query("SELECT present_tense FROM $verb_value");

Answer 1

您可以这样做，是的。 是否想要是另一回事-如果要将用户输入添加到SQL查询中，则会有一个巨大的SQL注入孔。

就是说，使用表名，您可以实现白名单，然后将传递的值与表名进行比较，以衡量安全性。

但是，您不能将表名（或列名）作为绑定参数传递-它们需要在查询中生成。

Answer 2

用双引号引起来的字符串将解析其中的任何变量，因此可以使用。 单引号字符串不会。

但是，这通常不被认为是安全的。 我不确定是否可以使用bindParam方法来实现此目的（我使用PDO，而不是mysqli），因为它实际上不是参数。