在PDO準備語句中使用問號而不是表名

Question

我需要知道在PDO準備語句中是否可以使用問號（?）作爲表名或不是。

$table = $_POST['table']; 
$id = $_POST['id']; 
$sql = "UPDATE ? SET priority = priority + 1 WHERE id = ?"; 
$q = $db->prepare($sql); 
$q->execute(array($table,$id)); 

我得到這個錯誤：

Warning: PDO::prepare() [pdo.prepare]: SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '? SET priority = priority + 1 WHERE id = ?'

Answer 1

您需要的參數綁定是這樣的：

$q->bindParam(1, $table); 
$q->bindParam(2, $id); 

Source (see Example #2)

Answer 2

從簡單的問題

除此之外，還有另一個 - 你的代碼聞起來很糟糕的數據庫設計。在一個正確計劃的數據庫中，您將需要永不通過POST請求接收表名稱。

最有可能你使用多個表，你只能使用一個表。