2014-01-11 3 views
-4

Как я могу использовать переменную внутри mysql select из statment? как так:selcet от mysql с использованием переменной php

$db = $_POST['db']; 
$query = "SELECT * FROM $db.."; 
+1

Вы должны белый список его за разрешенный стол имена. – mario

+0

Я сделал, но почему-то не смог найти, что он не смог его найти, поэтому я спросил здесь. – durian

+0

Начать [здесь] (http://prototype.php.net/manual/en/mysqli.quickstart.prepared-statements.php) –

ответ

2

буквально ответить на вопрос:

$db = $_POST['db']; 
$query = "SELECT * FROM {$db}.."; 

ИЛИ

$query = "SELECT * FROM {$_POST['db']}.."; 

ИЛИ

$query = "SELECT * FROM ".$_POST['db'].".."; 

Как уже говорили другие, принимая unsanitized входные данные от POST очень плохая идея действительно

по крайней мере, вы должны сделать следующее

$db = $mysqli->real_escape_string($_POST['db']); 

, который по крайней мере убедиться, что другие команды не будут вставлены, такие как вставки, обновления или GRANT

Смежные вопросы