如何清理查询？

Question

我有我想这个消毒SQL查询：

SELECT * FROM navigation_$cat ORDER BY parent ASC, prio ASC 

的问题是，我不能得到$猫越快，因为它正在通过AJAX发送，并指出需要访问的数据库。我如何创建比简单地将字符串放在一起更安全的PDO语句？

Answer 1

您可以实现一个白名单，但另一种选择将是检查使用有效输入：

SHOW TABLES LIKE :tblname 

和'navigation_'.$cat作为参数。检查它是否只返回一个表，并且返回的表完全匹配传递的参数。

一旦完成，您就知道注入查询是安全的，因为您已经确定它确实是一个有效的表名。

这就是说，“从未知事件表中动态选择”通常表明您正在设计数据库时出错，并且您应该只有一个navigation表，其中包含category列。