PHP PDO問題與清理OR​​DER BY字段

Question

我有一個「ajax腳本/處理程序」，它返回一堆產品類別到我的jqGrid。在SQL最終看起來就像這樣：

$sql = 'SELECT * FROM product_categories ORDER BY :sidx :sord LIMIT :start , :limit'; 
$sth = $dbh->prepare($sql); 
$sth->bindParam(':sidx', $sidx); 
$sth->bindParam(':sord', $sord); 
$sth->bindParam(':start', $start, PDO::PARAM_INT); 
$sth->bindParam(':limit', $limit, PDO::PARAM_INT); 
$sth->execute(); 

現在，我已經與「$開始」的問題，因爲PDO顯然有一些問題與限制，使我不得不明確地將其設置爲（INT），所以上述可以工作。我的下一個問題是ORDER BY字段被引用。我如何停止報價？我可以直接傳遞'$ sidx'和'$ sord'的值而不消毒它們，但這會很危險。 眼下，獲取生成上面的SQL爲：

SELECT * FROM product_categories ORDER BY 'product_category' 'asc' LIMIT 0 , 10 

當我真正需要它看起來像：

SELECT * FROM product_categories ORDER BY product_category asc LIMIT 0 , 10 

Answer 1

也許最好的解決方案將直接通過$sidx和$sord值不消毒它們，但之前已經過驗證。如：

$sidx = (!in_array($sidx,array('name','slug','description'))) ? 'name' : $sidx; 
$sord = (!in_array($sord,array('asc','desc'))) ? 'asc' : $sord; 
$sql = 'SELECT * FROM product_categories ORDER BY '.$sidx.' '.$sord.' LIMIT :start , :limit'; 
$sth = $dbh->prepare($sql); 
$sth->bindParam(':start', $start, PDO::PARAM_INT); 
$sth->bindParam(':limit', $limit, PDO::PARAM_INT); 
$sth->execute();