PHP - Подготовленные утверждения ошибки, что не так?

Question

Так вот кодоблок:

 $query = "UPDATE users SET ?=? WHERE ?=?"; 

     $type = "s"; 
     $type .= substr(gettype($valname), 0, 1); 
     $type .= 'i'; 

     if ($smtp = $this->conn->prepare($query)) 
     { 
      $smtp->bind_param($type, $colname, $valname, 'id', 40); 
      $smtp->execute(); 
      $smtp->close(); 

     }else 
     { 
      return $this->conn->error; 

     } 

По какой-то причине отказывается связывать параметры, и это дает мне эту ошибку: У вас ошибка в вашем SQL синтаксиса; проверьте руководство, соответствующее версии вашего сервера MySQL, для правильного синтаксиса для использования рядом с?? =? ГДЕ? =? ' в строке 1

Если я добавить кавычку (`) или singlequotes (') вокруг questionmarks я получаю эту ошибку вместо:

Неизвестный столбец"? in 'where clause'

Любые идеи, что пошло не так? Я сижу здесь часами, играя с ним, бог, это расстраивает !!

Спасибо!

Answer 1

Я не думаю, что вы можете определить столбец динамически в подготовленном операторе, только значения, поскольку они экранированы и т. Д. Вам нужно будет поместить имя столбца в строку запроса $, если оно исходит из неизвестного источника make убедитесь, что вы отфильтровываете его и проверяете.

Answer 2

Насколько я знаю, вы можете использовать? заполнители для условия, а не для имен таблиц и полей.

http://php.net/manual/en/pdo.prepared-statements.php