PHP中带变量的UPDATE单字段更新语句语法求助

两种写法在PHP语法层面都是有效的：

• 第一种通过字符串拼接（".$ii."）将字段名插入SQL语句
• 第二种利用PHP双引号字符串的特性，直接解析变量$ii

但必须严肃提醒：这两种写法都存在严重安全问题，且用到的mysql_query是早已被PHP废弃的扩展，完全不应再使用：

1. SQL注入风险：直接把用户通过$_GET传入的字段名拼进SQL，攻击者可构造恶意字段名篡改SQL逻辑，比如输入破坏语句的内容直接攻击数据库。另外$nom_aux和$id未做任何转义处理，同样会被利用注入。
2. 废弃扩展问题：mysql_query在PHP 5.5版本就已被废弃，PHP 7.0及以上版本直接移除，代码迁移到新环境会直接报错，应改用mysqli或PDO扩展。

正确处理方式 #

• 字段白名单验证：先列出允许修改的字段白名单，比如$allowed_fields = ['nombre', 'nota', 'fecha'];，检查$ii是否在这个数组内，不在则拒绝请求。
• 使用预处理语句：用PDO或mysqli的预处理功能，避免直接拼接变量到SQL，示例（PDO写法）：

// 验证字段名合法性
$allowed_fields = ['nombre', 'nota', 'fecha'];
if (!in_array($ii, $allowed_fields)) {
    die("非法字段");
}

// PDO连接数据库（示例）
$pdo = new PDO('mysql:host=localhost;dbname=你的数据库名', '用户名', '密码');
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

// 预处理执行更新
$sql = "UPDATE nota SET `$ii` = ? WHERE id = ?";
$stmt = $pdo->prepare($sql);
$stmt->execute([$nom_aux, $id]);

内容的提问来源于stack exchange，提问作者JotaErre Fu