MySQL执行UPDATE操作时如何在SET子句中使用变量？有哪些安全实现方式

现有写法的问题 #

• 语法逻辑错误：列名属于SQL标识符，不能用单引号包裹，单引号包裹的内容会被识别为字符串常量，执行时只会判断这个字符串和后面的参数是否相等，不会实际更新你指定的$name对应的列，更新操作完全不生效。
• 存在SQL注入风险：你直接将$name变量拼接进SQL语句，没有做任何校验，如果$name是用户可控的参数，攻击者可以构造恶意的$name值注入SQL，执行任意非法操作。

可行的实现方式 #

首先明确：PDO预编译的占位符仅支持值替换，不支持表名、列名这类SQL标识符的替换，所以不能直接给列名加?占位符，必须采用以下方案：

方案1：白名单校验+反引号包裹（最推荐） #

提前定义允许更新的列的集合，先校验传入的$name是否在合法集合内，校验通过后再用反引号包裹拼入SQL，值和查询条件继续用预编译占位符处理，完全规避注入风险。
代码示例：

// 提前定义允许更新的列白名单
$allowColumns = ['username', 'age', 'avatar', 'signature'];
if (!in_array($name, $allowColumns, true)) {
    // 非法列名，直接抛出错误终止操作
    throw new \InvalidArgumentException('不允许更新的字段');
}

// 反引号包裹合法列名拼入SQL
$update = $this->pdo->prepare(
  "UPDATE `user_info`
  SET `$name` = ?
  WHERE unique_token = ?"
);

$update->execute([$value, $unique_token]);

方案2：标识符转义处理（次选，仅适合白名单不好枚举的场景） #

如果业务场景需要更新的列太多无法枚举白名单，可以对$name做标识符转义，过滤掉反引号等特殊字符，再用反引号包裹拼入SQL，注意该方案安全性略低于白名单，不优先推荐。
代码示例：

// 转义列名中的反引号，避免注入
$name = str_replace('`', '', $name);
$update = $this->pdo->prepare(
  "UPDATE `user_info`
  SET `$name` = ?
  WHERE unique_token = ?"
);

$update->execute([$value, $unique_token]);

注意：不要尝试用?作为列名的占位符，预处理机制只会将占位符解析为值，会自动给值加引号，最终会变成语法错误。

内容的提问来源于stack exchange，提问作者Jonas Anton