如何在 MySQL 表中创建包含空格和通配符的 SQL 表名？

Question

我正在寻找一种在 MySQL 表中存储带有空格和通配符的值的方法。这怎么能做到呢？我尝试过使用 mysql_real_escape_string ，但由于某种原因它仍然不会创建带有通配符的表。我一直在做一些研究，我知道这并不复杂，但找不到我要找的东西。

插入示例：

$sql = "CREATE TABLE " . $_COOKIE['username'] . "_" . mysql_real_escape_string($wildcard_name) . "
(
example int,
example2 varchar(999),
example3 varchar(999),
example4 varchar(999)
)";
mysql_query($sql,$con);

尝试添加斜杠：

$con = mysql_connect("server","user","pass");
if (!$con)
  {
  die('Could not connect: ' . mysql_error());
  }
  $scrapbook_name = $_POST["scrapbook_name"];
$scrapbook_name = mysql_real_escape_string($scrapbook_name);
$scrapbook_name = addcslashes($scrapbook_name, '%_');
// Create table
mysql_select_db("user_scrapbooks", $con);
$sql = "CREATE TABLE " . $_COOKIE['user'] . "_" . $scrapbook_name . "
(
id int,
name varchar(999),
description varchar(999),
link varchar(999)
)";
mysql_query($sql,$con);

Answer 1

您可以使用“addcslashes”函数来转义通配符。

$x = mysql_real_escape_string($x);
$x = addcslashes($x, '%_');

addcslashes 文档

Answer 2

您应该使用` quote 创建表。

Answer 3

    @mysql_select_db('mydb') or die(DBCUSTOMERROR);
$mydata = ' * * ? % ';
$query = "INSERT INTO `mydb`.`mytable` ( `MyVarCharField`) VALUES  ('". $mydata.  "' );";

Answer 4

$sql = "CREATE TABLE " . $_COOKIE['username'] . "_" 
       . mysql_real_escape_string($wildcard_name) . "

看起来您并不是在尝试存储带有特殊字符的值，实际上是在尝试创建带有特殊字符的表标识符。

您可以在 SQL 中分隔标识符，因此可以允许特殊字符、空格、国际字符、SQL 关键字等。在 MySQL 中，标识符分隔符是反引号。在 ANSI SQL（或使用 SET SQL_MODE='ANSI' 的 MySQL）中，标识符分隔符是双引号。

因此，您可以创建一个表名，如果您每次使用它时对其进行分隔，该表名通常会无效：

CREATE TABLE `SELECT - ORDER` ( ... );
INSERT INTO `SELECT - ORDER` VALUES ( ... );
SELECT ... FROM `SELECT - ORDER`;

但是，mysql_real_escape_string() 并不是用于准备安全用作字符串的正确函数。标识符。该函数适用于字符串值，使它们在单引号字符串中安全。 mysql_real_escape_string() 不会转义反引号。 因此，如果表名包含反引号，即使您尝试转义它并分隔，也可能会出现问题it：

$user_name = "foo` bar";
$sql = "CREATE TABLE `" . mysql_real_escape_string($username) ...

导致无效的 SQL 语句：

CREATE TABLE `foo` bar` ...

您应该真正过滤 cookie 内容，剔除无效字符。这样您就可以更加确信它不会造成问题。

$user_name = preg_replace('/`/u', '', $_COOKIE['username']);
$table_name = "{$username}_{$wildcard_name}";
$sql = "CREATE TABLE `{$table_name}` ...";

您不需要对表名转义单引号、双引号或 LIKE 通配符。

Answer 5

我可能是错的（如果我错了，请纠正我），但是你不能使用 为此序列化？