PHP能否接收客户端传入的表名？代码第18行语法错误如何解决

1. 关于PHP是否支持接收客户端传入表名作为参数 #

PHP本身可以通过$_POST/$_GET等超全局变量接收客户端传入的任意参数，包括数据库表名。但严禁直接将未经过滤的客户端参数拼接到SQL语句中，该操作会造成高危SQL注入漏洞，可导致数据库被拖取、篡改、删除。

2. 代码语法错误排查与修复方案 #

你代码里第18行报错的核心原因是：SQL语句中表名的包裹符使用错误。MySQL中表名、列名这类标识符需要用反引号`包裹，单引号'仅用于包裹字符串值，你写的'$table'会被MySQL识别为字符串而非表名，直接触发语法错误。

除此之外代码还存在几处其他问题：

• 数据库连接错误提示的函数名拼写错误：mysqli_connect_erre()应为mysqli_connect_error()
• 成功提示单词拼写错误：sucess应为success
• 表单input标签的name、id属性未加引号，不符合HTML规范，部分场景下会出现解析异常
• 无任何参数校验逻辑，存在严重SQL注入风险

修复后完整代码 #

<?php
if(isset($_POST['table']))
{
    $server="localhost";
    $username="root";
    $password="";
    $database="major";
    
    $con=mysqli_connect($server,$username,$password,$database);
    
    if (!$con)
    {
        die("连接失败: ". mysqli_connect_error());
    }
    
    $table = $_POST['table'];
    // 严格校验表名格式：仅允许字母、数字、下划线，长度不超过64位，从根源避免SQL注入
    if(!preg_match('/^[a-zA-Z0-9_]{1,64}$/', $table)){
        die("表名格式非法，仅允许使用字母、数字、下划线，长度不超过64位");
    }
    // 表名用反引号包裹
    $sql="CREATE TABLE `$table`(
        id INT NOT NULL AUTO_INCREMENT PRIMARY KEY,
        name VARCHAR(5) NOT NULL
    )";
    $result=mysqli_query($con,$sql);
    
    if($result)
    {
        echo "success";
    }
    else
    {
        echo "建表失败，错误信息: ". mysqli_error($con);
    }
    mysqli_close($con);
}
?>
<html>
<body>
    <form action="new.php" method="post">
        <input type="text" name="table" id="table">
        <button type="submit">提交</button>
    </form>
</body>
</html>

额外注意事项 #

• 建表时建议给id字段设置主键、自增属性，否则后续数据操作会出现异常
• 执行SQL失败时建议输出具体的mysqli错误信息，方便快速定位问题，而不是仅输出笼统的"error"
• 生产环境绝对不能用root账号连接业务数据库，应单独分配权限最小的数据库账号，降低安全风险

内容的提问来源于stack exchange，提问作者boishali ghosh