Échappement des noms de colonnes dans les instructions PDO

La bonne réponse est

str_replace("`", "``", $fieldname)

Faux:

mysql> SELECT `col\"umn` FROM user;
ERROR 1054 (42S22): Unknown column 'col\"umn' in 'field list'

Droite:

mysql> SELECT `kid``s` FROM user;
ERROR 1054 (42S22): Unknown column 'kid`s' in 'field list'
mysql> SELECT ```column``name``` FROM user;
ERROR 1054 (42S22): Unknown column '`column`name`' in 'field list'

(Notez que dans le dernier exemple, le nom de la colonne a 3 (trois) dos extra-tiques, juste pour montrer un cas extrême)

Cela peut affecter les performances, mais il doit être sécurisé.

Exécutez D'abord une requête de table DESCRIBE pour obtenir une liste de noms de champs Autorisés, puis faites correspondre ces agaisnt les données soumises par l'utilisateur.

S'il y a une correspondance, vous pouvez utiliser les données soumises par l'utilisateur sans avoir besoin d'échappement.

S'il n'y a pas de correspondance, c'est une faute de frappe ou un hack - de toute façon c'est une "erreur" dans les données entrées et la requête ne doit pas être exécutée.

La même chose pourrait être faite pour la table 'dynamic' noms en exécutant une requête SHOW TABLES et en faisant correspondre à partir de ce jeu de résultats.

Dans une de mes applications, j'ai un script 'install' ; une partie de cela interroge les noms des champs de la base de données et de la table, puis écrit un fichier php auquel il est toujours renvoyé, donc je n'exécute pas constamment des requêtes de description contre la base de données, par exemple

$db_allowed_names['tableName1']['id'] = 1;
$db_allowed_names['tableName1']['field1'] = 1;
$db_allowed_names['tableName1']['field2'] = 1;
$db_allowed_names['tableName2']['id'] = 1;
$db_allowed_names['tableName2']['field1'] = 1;
$db_allowed_names['tableName2']['field2'] = 1;
$db_allowed_names['tableName2']['field3'] = 1;

if($db_allowed_names['tableName1'][$_POST['field']]) {
     //ok
}

J'utilise des clés de tableau comme ceci car l'instruction if est un peu plus rapide qu'une recherche in_array

Que diriez-vous de quelque chose comme ça?

function filter_identifier($str, $extra='') {
    return preg_replace('/[^a-zA-Z0-9_'.$extra.']/', '', $str);
}

try {
    $res = $db->query('SELECT '.filter_identifier($_GET['column'], '\*').' FROM '.filter_identifier($_GET['table']).' WHERE id = ?', $id);
} catch (PDOException $e) {
    die('error querying database');
}

Il s'agit d'une simple liste de caractères basée sur une liste blanche. Tous les caractères qui ne figurent pas dans la liste seront supprimés. Heureusement pour moi, j'ai pu faire la base de données et les tables, donc je sais qu'il n'y aura jamais de caractères en dehors de "A-zA-Z0-9_" (note: pas d'espace). Vous pouvez ajouter des caractères supplémentaires à la liste via l'arg $ extra. Si quelqu'un essayait de mettre "(SELECT * FROM users);-- " dans 'column' , il filtrerait jusqu'à "SELECT * FROMusers" , ce qui lancerait une exception:)

J'essaie d'éviter de faire des requêtes supplémentaires si possible (je suis très sensible aux performances). Donc, des choses comme faire une description à l'avance ou coder en dur un tableau de tables/colonnes à vérifier est quelque chose que je préfère ne pas faire.

Conception Bizarre d'un projet, mais pour votre problème: entourez vos noms de champs avec ` et utilisez également addslashes pour le nom.

select `field1`, `field2` from table where `field3`=:value