PHP PDO - имя таблицы привязки?

Question

Можно ли связать имя таблицы?

Я хочу, чтобы класс читал столбцы из таблиц и, в зависимости от типа поля, генерировал входы формы для меня. Когда я $form = new form("users");, конструктор должен начать с получения имен полей из таблицы с помощью следующего кода:

class form{ 

    public function __construct($table, $skip = array("id")){ 
     $pdo = new PDO('mysql:host=localhost;dbname=site;',USER,PASS); 

     $query = $pdo->prepare("DESCRIBE :table"); 

     $query->bindValue(':table', $table, PDO::PARAM_STR, strlen($table)); 

     $query->execute(); 

     while($field = $query->fetch(PDO::FETCH_NUM)){ 
      var_dump($field); 
      echo "<br /><br />"; 
     } 

     unset($pdo); 
    } 
} 

Это прекрасно работает, когда я указываю «пользователей» вместо «: таблица» в подготовке , но привязка работает, и я уверен, что это потому, что он пытается связать имя таблицы. Кроме того, это необходимо привязать, потому что я хотел бы иметь возможность передавать мои имена таблиц через $_GET и такие.

Answer 1

Можно ли связать имя таблицы?

No.

Вы должны белый список имен таблиц. Я сомневаюсь, что вы хотите, чтобы пользователь мог просматривать любую таблицу из вашей базы данных.

И вам также нужно отформатировать идентификаторы вручную. Пример: tag wiki. Почему бы не прочитать его первым?

Обновление: Как вы можете видеть, PDO оказывается неудобным для реальных задач. Итак, у вас должна быть более интеллектуальная библиотека абстракции для обработки запросов MySQL. Вот пример использования safeMysql класса, который позволит сделать ваш код значительно короче:

class form{ 
    public function __construct($table){ 
     global $db; 
     return $db->getAll("DESCRIBE ?n", $table); 
    } 
} 

2 примечания:

• Я удалил второй параметр, поскольку нет никакого кода в вашей функции, использует его.
• НИКОГДА не подключайтесь к классу. Вместо этого используйте уже открытое соединение. Или вы убьете свой сервер MySQL с таким количеством подключений.

Исключите реализована версия

class form { 
    public function __construct($table,$skip = array("id")){ 
     global $db; 
     $data = array(); 
     $res = $db->query("DESCRIBE ?n", $table); 
     while($row = $db->fetch($res)) { 
      if (!in_array($row['Field'],$skip)) { 
       $data[] = $row; 
      } 
     } 
     return $data; 
    } 
} 

Однако такой класс редко может быть использован по назначению - всегда есть много исключений и ручного форматирования, чтобы сделать его пригодным для использования.

Answer 2

Существует класс обертка PDO в - http://www.phpclasses.org/package/5997-PHP-Database-access-abstraction-layer.html, что позволяет сделать это (хотя я новичок в PDO так, может быть, оно не используя подготовленные заявления)

Его Предложенное использование является:

$db = new DatabaseConnection('someMysqlServer', 'user', 'pass', 'database'); 

$result = $db->exec($db->filterForSql('SELECT * FROM '.$tableName.';')); 

I было бы интересно, если другие считают, что это «безопасный» способ использования PDO или нет.