可以在PDO准备好的语句中参数化哪些令牌？

可以在PDO准备好的语句中参数化哪些令牌？

表名和列名不能用PDO中的参数替换。

在这种情况下，您只需要手动过滤和清理数据。一种实现方法是将简写参数传递给将动态执行查询的函数，然后使用一条

switch()

语句创建要用于表名或列名的有效值白名单。这样，就不会有用户输入直接进入查询。因此，例如：

function buildQuery( $get_var ) {    switch($get_var)    {        case 1: $tbl = 'users'; break;    }    $sql = "SELECt * FROM $tbl";}

通过不保留默认大小写或使用返回错误消息的默认大小写，可以确保仅使用要使用的值。