Bolehkah PDO Mengikat Nama Jadual dalam Pertanyaan SQL?

PDO Bind Table Name

Soalan:

Bolehkah PHP Data Objects (PDO) mengikat nama jadual kepada pertanyaan SQL?

Jawapan:

Tidak, tidak mungkin untuk mengikat nama jadual pada pertanyaan SQL menggunakan PDO.

Penjelasan:

PDO beroperasi dengan mengikat nilai pada parameter dalam pernyataan yang disediakan, memastikan bahawa input dianggap sebagai data dan bukan sebagai sebahagian daripada pernyataan SQL itu sendiri. Nama jadual, bagaimanapun, dianggap sebagai sebahagian daripada struktur SQL, dan mengikatnya akan menimbulkan risiko keselamatan kerana ia akan membolehkan pengguna memanipulasi struktur pangkalan data secara dinamik.

Penyelesaian:

Daripada mengikat nama jadual, pertimbangkan pendekatan alternatif berikut:

• Penyenaraian putih: buat senarai nama jadual yang dibenarkan dan sahkan input pengguna terhadap senarai ini untuk menghalang capaian yang tidak dibenarkan .
• Encapsulation: merangkum akses jadual dalam kelas atau pustaka yang mengehadkan akses kepada jadual yang dibenarkan melalui pelaksanaan dalamannya.
• Parameterisasi: lulus nama jadual sebagai argumen fungsi atau argumen kaedah objek dan bukannya mengikatnya pada parameter pertanyaan.

Atas ialah kandungan terperinci Bolehkah PDO Mengikat Nama Jadual dalam Pertanyaan SQL?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!