PHP PDO::prepare() - 带有占位符的 SQL 错误

Question

我的问题是我无法在 SQL 语句中使用占位符。具体来说，在下面的代码中，当我将占位符 ':tripsid' 替换为 'abcdefg' 之类的值时，表不会按预期创建。

SQL错误是：

PDO::errorInfo(): Array ( [0] => 42000 [1] => 1064 [2] => 你有一个 SQL 语法错误；检查与您对应的手册 MySQL 服务器版本，用于使用近 *''sdfghjk' ( id INT NOT NULL、stop_start SMALLINT NOT NULL、stop_end SMA'* 在第 1 行）

代码：

// My method to create a table with PDO and placeholders
public function routes_table()  {

    $this->connect();

    $STH = $this->DBH->prepare('CREATE TABLE IF NOT EXISTS :tripsid (
        id INT NOT NULL,
        stop_start SMALLINT NOT NULL,
        stop_end SMALLINT NOT NULL,
        distance SMALLINT NOT NULL,
        duration TINYINT NOT NULL,
        medium TINYTEXT NOT NULL,
        CONSTRAINT pk_routes PRIMARY KEY ( id )
        )');


    $tripsid = "sdfghjk";
    $STH->bindParam(':tripsid', $tripsid, PDO::PARAM_STR, 7);

    $STH->execute(); 

    // SQL Errors
    if (!$STH->execute($input)) {
        echo "\nPDO::errorInfo():\n";
        print_r($STH->errorInfo());
    }

    $this->disconnect();

}

我已经尝试了我能想到的一切。有人看到错误吗？

Answer 1

我看到这个问题已经有一年多了，但我刚刚偶然发现它并想强调一些内容：这与引号无关。

当发生错误并且给你时与相关语法相关的 SQL 片段，它会自动用一对单引号引起来。这通常会使事情看起来好像存在不同的问题，即双引号和单引号混合的问题。

在这个例子中 -

PDO::errorInfo(): 数组 ( [0] => 42000 1 => 1064 [2] => 您的 SQL 语法有错误；检查与您的 MySQL 对应的手册服务器版本，以便在 ''sdfghjk' 附近使用正确的语法（第 1 行 id INT NOT NULL、stop_start SMALLINT NOT NULL、stop_end SMA'）

它指的是：

'sdfghjk' ( id INT NOT NULL, stop_start SMALLINT NOT NULL, stop_end SMA

最外面的引号仅特定于错误输出; 像我一样 - 我担心您注意到了这一点并认为您的错误与不正确的引号有关这是一个红色鲱鱼！删除最外面的单引号以实际查看不正确的 SQL。

至于您真正的问题：您不能将表名称（或列名称）指定为参数；这对于大多数平台和 API 上的预准备语句来说很常见。对于任何查询 - 选择/插入/更新等 - 它们都不能接受表名作为参数。有关更多信息 - 请参阅此处的问题 。

因此，考虑到这一点，我将使用 sprintf() 来实现类似的功能...

$STH = $this->DBH->prepare(
    sprintf('CREATE TABLE IF NOT EXISTS %s (
        id INT NOT NULL,
        stop_start SMALLINT NOT NULL,
        stop_end SMALLINT NOT NULL,
        distance SMALLINT NOT NULL,
        duration TINYINT NOT NULL,
        medium TINYTEXT NOT NULL,
        CONSTRAINT pk_routes PRIMARY KEY ( id )
        )', $tripsid) 
);

$STH->execute();

是的，当您仍然需要操作字符串时，它反而会失去 PDO 的美感 - 不幸的是，这就是使用表名作为参数的情况！ 另外，请记住，这意味着当您直接操作查询时，“旧样式”SQL 注入风险仍然可能存在。

我不认为这会对一年后的 OP 有所帮助，但我希望它会现在就帮助别人吧！ :)

Answer 2

好的，现在我知道 PDO::bindParam() 自动绑定到参数的引号导致了问题。有谁知道如何从表名称中删除引号，这样我的代码将是...

$STH = $this->DBH->prepare('CREATE TABLE IF NOT EXISTS tablename (
            id INT NOT NULL,...

而不是

$STH = $this->DBH->prepare('CREATE TABLE IF NOT EXISTS 'tablename' (
            id INT NOT NULL,