使用PHP PDO从MySQL数据库取数时遭遇SQL语法错误求助

这个错误的核心原因很明确：PDO的预处理占位符?只能用来绑定SQL查询中的值，不能用来替换表名、列名这类SQL标识符。你现在把rowname、tablename、key这些标识符都用了占位符，MySQL会把它们当作普通字符串处理，自然就会报语法错误。

正确的解决思路 #

我们需要把标识符（列名、表名）和值分开处理：

• 对于标识符：先做白名单验证（防止SQL注入），确认合法后直接拼接到SQL语句中
• 对于值：依然用PDO的占位符绑定，保证安全性

修正后的代码 #

<?php 
error_reporting(E_ALL); 
ini_set('display_errors', 1); 
include_once("set.php"); 

function fetchinfo($rowname, $tablename, $key, $val, $db) {
    // 1. 定义允许的表名和列名白名单，根据你的实际数据库结构调整
    $allowedTables = ['users'];
    $allowedColumns = ['name', 'steamid']; // 包含查询列和条件列

    // 2. 验证传入的标识符是否在白名单内
    if (!in_array($tablename, $allowedTables) || !in_array($rowname, $allowedColumns) || !in_array($key, $allowedColumns)) {
        throw new InvalidArgumentException('Invalid table or column name');
    }

    // 3. 把合法的标识符直接拼入SQL，值用占位符
    $stmt = $db->prepare("SELECT `$rowname` FROM `$tablename` WHERE `$key` = ?");
    // 4. 只绑定值参数
    $stmt->execute([$val]); 
    $row = $stmt->fetch(); 

    return $row ? $row[$rowname] : null; // 处理没有找到数据的情况
}

echo fetchinfo("name","users","steamid","76561198159854902", $pdo); 
?>

关键说明 #

• 白名单验证：这一步非常重要，直接拼接标识符如果不做验证，会有SQL注入风险。一定要根据你实际的数据库表和列来定义白名单。
• 标识符加反引号：给表名和列名加上反引号`，可以避免因为标识符是MySQL关键字而导致的语法错误。
• 处理空结果：如果查询没有找到匹配的数据，fetch()会返回false，所以我们要做个判断，避免访问不存在的数组键。

这样修改后，你的代码就能正常执行，同时也保证了查询的安全性。

内容的提问来源于stack exchange，提问作者user9808335