Prepared语句执行失败：MySQLi绑定表名引发致命错误排查

你遇到的致命错误根源在于不能用预处理语句的参数绑定来指定表名——mysqli的预处理参数只能用来绑定SQL语句中的值（比如WHERE子句里的条件值），像表名、列名这类SQL标识符是没办法通过bind_param来绑定的。

为什么会报错？ #

当你尝试把$table作为参数传给?占位符时，mysqli会把它当作字符串值处理，最终生成的SQL会变成类似这样：

SELECT * FROM 'ship_engine' WHERE UserId = 123

而SQL里表名是不能用单引号包裹的，这就直接导致语法错误，触发了查询不被接受的报错。

修复方案 #

你需要先对表名做安全校验（这一步非常重要，防止SQL注入），然后直接把表名拼接到SQL语句中：

$parts = array( "engine", "reactor" );
$count = count($parts);
for($x = 0; $x < $count; $x++) {
    $tableName = $parts[$x];
    // 安全校验：只允许预定义的表名，防止恶意注入
    if(!in_array($tableName, ["engine", "reactor"])) {
        continue; // 或者抛出错误，拒绝非法表名
    }
    $table = 'ship_'.$tableName;
    // 直接将合法的表名拼入SQL，用反引号包裹避免语法冲突
    $sql = "SELECT * FROM `$table` WHERE UserId = ?";
    $stmt1 = mysqli_prepare($con, $sql);
    // 只绑定UserId这个值参数
    mysqli_stmt_bind_param($stmt1,'i', $n_userid);
    // 后续执行语句的逻辑
    mysqli_stmt_execute($stmt1);
    // 获取结果等操作...
}

关键注意事项 #

• 必须做表名校验：永远不要直接使用用户输入或不可信来源的字符串作为表名，一定要限制为你预先定义的合法表名列表，避免SQL注入风险。
• 使用反引号`包裹表名：如果你的表名包含特殊字符或者和SQL关键字冲突，反引号能避免语法错误，是个好习惯。

内容的提问来源于stack exchange，提问作者Dorvalla