在Rust中使用预处理语句指定MySQL表名是否可行？

预处理语句的?占位符（包括PHP mysqli的??）只能用来绑定数据值，表名属于SQL的结构定义部分——数据库在预处理阶段需要先确定要操作的表、列等元信息，之后才能绑定数据参数，所以根本没法用占位符动态替换表名。

用mysql crate的解决办法 #

你需要先严格校验表名的合法性，再通过字符串拼接生成合法的SQL语句，示例代码如下：

use mysql::prelude::*;
use mysql::Conn;

// 定义允许访问的表名白名单，必须提前明确所有可访问的表
const ALLOWED_TABLES: &[&str] = &["lang_data", "other_table"];

fn fetch_lang_data(conn: &mut Conn, table_name: &str, lang: &str) -> Result<Vec<(String, String)>, mysql::Error> {
    // 第一步：校验表名是否在白名单内，彻底阻断SQL注入风险
    if !ALLOWED_TABLES.contains(&table_name) {
        return Err(mysql::Error::from(std::io::Error::new(
            std::io::ErrorKind::InvalidInput,
            "Invalid or unauthorized table name",
        )));
    }
    // 用反引号包裹表名，避免表名是MySQL关键字导致语法错误
    let sql = format!("SELECT value, lang FROM `{}` WHERE lang = ?", table_name);
    // 数据参数（lang）仍然用占位符绑定，保证安全
    conn.query_map(sql, |(value, lang)| (value, lang))
}

切换到sqlx的解决办法 #

sqlx同样不支持用占位符绑定表名，但它提供了编译时SQL检查（表名固定场景），动态表名的处理逻辑和mysql crate类似，示例代码：

use sqlx::{MySql, Row};
use sqlx::mysql::MySqlPool;

const ALLOWED_TABLES: &[&str] = &["lang_data", "other_table"];

async fn fetch_lang_data(pool: &MySqlPool, table_name: &str, lang: &str) -> Result<Vec<(String, String)>, sqlx::Error> {
    if !ALLOWED_TABLES.contains(&table_name) {
        return Err(sqlx::Error::Configuration("Invalid or unauthorized table name".into()));
    }
    let sql = format!("SELECT value, lang FROM `{}` WHERE lang = ?", table_name);
    let rows = sqlx::query(&sql)
        .bind(lang)
        .fetch_all(pool)
        .await?;
    
    Ok(rows.into_iter().map(|row| (row.get(0), row.get(1))).collect())
}

关键注意事项 #

绝对不能直接拼接未校验的用户输入作为表名，必须通过白名单校验确保表名是预先定义的合法值，否则会引发严重的SQL注入漏洞。

内容的提问来源于stack exchange，提问作者Epi