PHP如何在MySQL INSERT INTO语句中动态指定列名

首先明确：PDO的参数绑定只能用来替换SQL里的值，不能用来替换列名、表名这类标识符。所以要实现动态列名，得先做输入校验，再安全拼接列名，具体步骤如下：

1. 校验输入合法性
   先把$_GET传入的ID限制为1或2，避免非法输入导致SQL注入或数据库错误：

   $productID = $_GET['id'] ?? '';
   // 只允许合法的产品ID值
   if (!in_array($productID, ['1', '2'], true)) {
       die('非法的产品ID');
   }
   

2. 构造目标列名
   根据合法的ID拼接出对应的列名：

   $columnName = "product{$productID}_vote";
   

3. 拼接并预处理SQL语句
   把构造好的列名拼到INSERT语句里，值的占位符用固定名称（比如:vote_value）即可，不用动态修改占位符：

   $stmt = $pdo->prepare("INSERT INTO products (id, title, {$columnName}) VALUES(:id, :title, :vote_value)");
   

4. 绑定参数并执行
   后续的参数绑定和之前逻辑一致，最后一个参数绑定到固定的:vote_value占位符：

   $id = $pdo->lastInsertId();
   $title = 'Test';
   $date = date('m/d/Y h:i:s', time());
   $stmt->bindParam(':id', $id, PDO::PARAM_INT);
   $stmt->bindParam(':title', $title, PDO::PARAM_STR);
   $stmt->bindParam(':vote_value', $date, PDO::PARAM_STR);
   // 执行插入操作
   $stmt->execute();
   

关键说明 #

• 不能直接把用户输入的ID拼到SQL里而不校验，否则会有SQL注入风险；通过限制ID只能是1或2，能确保构造出的列名只能是product1_vote或product2_vote，完全安全。
• 你的期望写法里有两个问题：一是单引号字符串无法解析PHP变量，得用双引号；二是动态占位符没必要，用固定占位符更简洁易维护。

内容的提问来源于stack exchange，提问作者user19103974