如何在PHP代码中通过变量指定MySQL数据表的列名？

问题1 & 问题2的统一解答 #

当然可以通过本地变量来指定或者动态选择MySQL查询的列名，不过这里有个关键的安全要点必须先提：绝对不能直接把未经过滤的变量（尤其是用户输入的变量）直接拼接到SQL语句里，这会导致严重的SQL注入风险。正确的做法是先做白名单验证，确保变量是你预先允许的列名之一。

举个完全贴合你需求的示例，比如根据条件动态选择email或email_2列：

// 第一步：定义允许查询的列名白名单，只开放你需要的列
$allowedColumns = ['email', 'email_2'];

// 根据你的业务条件判断要选择的列
if ($yourCondition) { // 替换成你实际的判断条件，比如用户权限、请求参数等
    $selectedColumn = 'email';
} else {
    $selectedColumn = 'email_2';
}

// 先验证选中的列是否在白名单内，彻底杜绝注入风险
if (!in_array($selectedColumn, $allowedColumns)) {
    die("非法的列名请求");
}

// 安全构建SQL语句，给列名加反引号避免和MySQL关键字冲突
$stmt = $conn->prepare("SELECT `$selectedColumn` FROM account_data_base WHERE test = ?");
$stmt->bind_param("s", $test);

// 执行查询并处理结果
$stmt->execute();
$result = $stmt->get_result();
// 后续可以根据$result做结果遍历等操作

为什么必须做白名单验证？ #

假设有人恶意构造$selectedColumn的值为email FROM account_data_base; DROP TABLE account_data_base; --，直接拼接的话就会执行删除表的恶意操作。而白名单验证可以彻底堵死这种漏洞，因为只有你预先允许的列名才能被用于查询。

另外，给列名加上反引号`是个小细节但很有用——如果你的列名刚好是MySQL的关键字（比如order、user），反引号可以避免语法错误。

内容的提问来源于stack exchange，提问作者KevinVuD