如何在MySQL查询中动态生成表名？PHP $_GET传参异常排查

错误原因 #

你的代码里给表名加了多余的单引号，导致生成的SQL语句表名格式错误。比如当$imei为862202228007105时，实际执行的SQL是：

SELECT * FROM gs_object_data_'862202228007105' LIMIT 200

MySQL会把gs_object_data_'862202228007105'当作完整表名，而你的真实表名是gs_object_data_862202228007105，因此查不到数据。

修正后的代码 #

去掉表名中的单引号，同时必须严格校验IMEI参数合法性，避免SQL注入风险：

// 获取IMEI参数，为空时设置默认值
$imei = $_GET['imei'] ?? '';
// 验证IMEI格式（按实际规则调整，这里假设是15位纯数字）
if (!preg_match('/^\d{15}$/', $imei)) {
    die('非法的IMEI参数');
}

// 拼接合法表名，用反引号包裹避免特殊字符冲突
$tableName = "gs_object_data_{$imei}";
$result = $db->query("SELECT * FROM `{$tableName}` LIMIT 200");

关键注意事项 #

• 表名不需要单引号包裹，若表名包含空格、关键字等特殊字符，用**反引号（`）**包裹即可。
• 绝对不能直接使用未过滤的用户输入拼接表名：IMEI有固定格式，通过正则校验能有效拦截恶意注入内容（比如862202228007105; DROP TABLE...这类攻击语句）。
• 可预先维护合法IMEI列表，查询前先校验对应表是否存在，进一步提升容错性和安全性。

内容的提问来源于stack exchange，提问作者eTrack