如何避免PDO预处理查询为绑定参数添加引号？

PDO的预处理语句不能直接绑定列名或排序方向（ASC/DESC），因为这些属于SQL语法结构，不是普通的数据参数，PDO会自动给它们加上引号变成字符串，自然就起不到排序作用了。

正确的做法是先做白名单验证（防止SQL注入，这步不能省），验证通过后直接把值拼进SQL语句：

// 定义允许的列名和排序方向白名单
$allowedColumns = ['column1', 'column2', 'column3'];
$allowedOrders = ['ASC', 'DESC'];

// 给变量设置默认值，防止非法输入
$temp1 = in_array($temp1, $allowedColumns) ? $temp1 : 'column1';
$temp2 = in_array(strtoupper($temp2), $allowedOrders) ? strtoupper($temp2) : 'ASC';

// 直接把验证后的列名和排序方向拼进SQL
$sql = $pdo->prepare("SELECT column1, column2, column3
                      FROM table
                      ORDER BY $temp1 $temp2");

// 执行查询
if ($sql->execute()) {
    // 处理结果
} else {
    // 处理错误
}

核心说明 #

• 列名、排序方向属于SQL的结构部分，不是WHERE子句里的条件值这类数据，PDO的参数绑定只针对数据值设计。
• 白名单验证是关键：如果直接把未验证的输入拼进SQL，会有SQL注入风险，白名单能确保只有你允许的值被使用。

内容的提问来源于stack exchange，提问作者Joe Otto