Использование и ограничения пользовательских красноречивый привязок запросов с Laravel 5

Question

Допустим, запрос выглядит следующим образом:

$query = 'select * from some_table LIMIT :limit' 

Мои db-> Выделяет следующие:

а) $orders = $db->select($db->raw($query), array("limit" => '0,10'));

б) $orders = $db->select($db->raw($query), array("limit" => '10'));

a) не работает, но b). Зачем?

Кроме того, это не работает:

$query2 = 'select :col from some_table LIMIT :limit'; 
$orders = $db->select($db->raw($query2), array("col" => "some_col","limit" => '10')); 

я использую это неправильный путь?

Answer 1

Вам необходимо понять, что подготовленные операторы - это не только форматированные строки. Идея подготовленных операторов состоит в том, что синтаксис и аргументы отправляются отдельно, поэтому вы можете безопасно отправлять пользовательские данные, не рискуя инъекцией mysql. В запросе a) вы устанавливаете синтаксис в параметре. То же самое можно сказать и о столбцах. Имена столбцов являются частью синтаксиса.