查询使用SQL变量时的Mysqli PHP准备语句

Question

我想将我的 SQL 查询变成一个准备好的语句，但我意识到这并不像我最初想象的那么容易。这是当前形式的查询，因此不是准备好的语句。$mysqli = new mysqli(...);$result = mysqli_query( $mysqli,"SELECT count(*) as total from test_users, image_uploads     WHERE test_users.APPROVAL = 'granted'    AND test_users.NAME = image_uploads.OWNER    AND (test_users.IMGAUTO = 'enabled' OR image_uploads.IAPPROVAL = 'granted')");$data = mysqli_fetch_assoc( $result );$row_cnt = $data['total'];$totalPages = ceil(($row_cnt / $cardmax));所以我现在的问题是这个。当我制作准备好的语句时，我将无法再访问image_uploads.OWNER，因为我目前在查询中使用它。$grant = 'granted';$owner = ""; //<<--- how to get image_uploads.OWNER$enabl = 'enabled';$sql = "SELECT COUNT(*) FROM test_users, image_uploads    WHERE test_users.APPROVAL=?    AND test_users.NAME=?    AND (test_users.IMGAUTO=? OR image_uploads.IAPPROVAL=?)";$stmt = $mysqli->prepare($sql);$stmt->bind_param('ssss', $grant, $owner, $enabl, $grant);$stmt->execute();$row = $stmt->get_result()->fetch_row();$row_cnt = $row[0];$totalPages = ceil(($row_cnt / $cardmax));有没有办法image_uploads.OWNER在我准备好的陈述中得到这个。我该如何正确地做到这一点？

Answer 1

它看起来像是image_uploads.OWNER数据库中 SQL 表中的一列。如果是这样，那么您可以将其保留在您的第一个版本中。你不需要参数化它。

只有来自数据库引擎外部的数据值（例如用户输入或来自文件的数据）需要参数化，因为该数据可能是未知的，并且可能包含需要清理的恶意值/注入攻击。引用另一个表中的列名不会造成这样的威胁——您没有将未知的字符串值放入查询语法中。

注意实际上，您的原始查询都不依赖于外部输入或未知变量 - 所有数据都被硬编码到查询文本中。因此，您实际上不需要在此特定查询中对任何内容进行参数化。一切都是预先设置好的，因此不会有意外/未知文本成为可执行 SQL 的一部分的威胁。