在PDO查询中使用变量作为表名，以下代码是否安全？

嘿，你的这段代码是安全的，而且采用了处理动态表名的最佳实践之一——白名单映射，具体原因和优化建议如下：

• 核心安全逻辑：白名单过滤
  你的buildQuery函数本质是把输入值映射到预先定义的合法表名，并没有直接将用户输入拼接到SQL语句中。哪怕传入了恶意值（比如user; DROP TABLE...），函数也不会匹配到任何case，最终要么$TableName未定义（会导致SQL执行报错），要么后续的调用检查也会拦截非法输入。

• 额外的调用层检查增强安全性
  在调用函数前，你还做了$_POST['DropDownChoice'] == 'user' OR $_POST['DropDownChoice'] == 'guest'的判断，相当于给输入加了第二层白名单过滤，进一步确保只有合法值能进入函数，双重保障了安全性。

不过这里有个小问题可以优化：你的switch写法不太规范（case里用$CheckInput == 'user'是多余的，正确写法应该直接写case 'user':），而且缺少默认分支处理，建议调整成更健壮的版本：

function buildQuery($CheckInput) {
    switch($CheckInput) {
        case 'user':
            $TableName = 'user';
            break;
        case 'guest':
            $TableName = 'guest';
            break;
        default:
            // 非法输入时抛出异常或返回错误，避免$TableName未定义导致的问题
            throw new InvalidArgumentException('Invalid table selection');
    }
    $sql = "SELECT * FROM $TableName";
    return $sql;
}

补充一点：处理动态表名/列名时，白名单映射是最可靠的方式，比尝试转义表名更安全——因为不同数据库的标识符转义规则不同（比如MySQL用反引号，PostgreSQL用双引号），而白名单完全杜绝了任何恶意注入的可能。

内容的提问来源于stack exchange，提问作者Inception