PHP预编译SQL中绑定字段变量失效问题求助

你的问题出在预处理语句的参数绑定不能用于字段名这类SQL标识符——预处理参数只能用来绑定查询中的值（比如WHERE条件里的ID值），而不是表名、字段名这类SQL结构元素。当你把$Field绑定到SELECT后的占位符时，数据库会把它当作一个普通字符串值处理，所以返回的自然就是你传入的字段名字符串，而不是对应字段的实际数据。

正确的处理方式 #

要动态指定字段名，需要先对字段名做安全验证（防止SQL注入），再直接将其拼入SQL语句中，具体步骤如下：

1. 创建字段白名单：只允许指定的合法字段名，避免恶意输入导致SQL注入
2. 验证字段名合法性：检查传入的$Field是否在白名单内
3. 拼接SQL语句：将合法的字段名直接写入SQL，再对ID参数进行预处理绑定

修改后的代码示例：

function GetFieldFromStelling($Field, $ID, $mysqli) {
    // 定义允许查询的字段白名单，替换成你实际的字段名
    $allowedFields = ['username', 'vote_count', 'create_time'];
    if (!in_array($Field, $allowedFields)) {
        // 非法字段，返回错误或空值
        return null;
    }
    
    // 用反引号包裹字段名，避免与SQL关键字冲突
    $query = $mysqli->prepare("SELECT `$Field` FROM stemmen WHERE ID = ?");
    $query->bind_param("i", $ID);
    $query->execute();
    $query->bind_result($results);
    $query->fetch();            
    return $results;
}

关键注意点 #

• 绝对不能直接将未验证的用户输入拼入SQL语句，必须通过白名单限制字段范围，否则会存在严重的SQL注入风险
• 字段名用反引号（`）包裹，避免字段名与SQL关键字冲突

内容的提问来源于stack exchange，提问作者MaxM