Работа с кавычками, добавленными PDO :: prepare ()

Согласно документации PHP, PDO :: prepare () добавляет кавычки ко всем вашим параметрам, чтобы вы не об этом нужно беспокоиться:

«Параметры подготовленных операторов не нужно заключать в кавычки; драйвер автоматически обрабатывает это. Если приложение использует только подготовленные операторы, разработчик может быть уверен, что SQL-инъекции не произойдет (однако, если другие части запроса строятся с неэкранированным вводом, SQL-инъекция все еще возможна) »

. это для меня способ построения запросов и структуры базы данных. Обычно часть FROM оператора SQL не требует параметризации, потому что таблица, вероятно, будет определяться прямым вводом пользователя. Однако с моим кодом это случай в некоторых местах, и поэтому я чувствую себя более комфортно с параметризованной версией.

SELECT * FROM ? WHERE ?=?

в отличие от SELECT * FROM tablename WHERE? =?

Итак, мой вопрос заключается в следующем: можно ли запретить моему объекту PDO добавлять кавычки вокруг параметра FROM, чтобы я не получал ошибок SQL, которые бросали мне в лицо? Или мне нужно сделать это по-другому.

8
задан hamalnamal 16 January 2012 в 18:03
поделиться