如何使用 PDO 準備好的語句安全地排序查詢結果？

使用 PDO 準備好的語句進行有序查詢

在資料庫互動中，對查詢結果進行排序是一項常見任務。使用帶有參數的 PDO 準備語句可以安全地插入排序參數。但是，嘗試在 ORDER BY 子句中使用參數時可能會出現困難。

以下查詢示範了 WHERE 子句參數的使用，但無法套用排序：

$order = 'columnName';
$direction = 'ASC';

$stmt = $db->prepare("SELECT field from table WHERE column = :my_param ORDER BY :order :direction");
$stmt->bindParam(':my_param', $is_live, PDO::PARAM_STR);
$stmt->bindParam(':order', $order, PDO::PARAM_STR);
$stmt->bindParam(':direction', $direction, PDO::PARAM_STR);
$stmt->execute();

參數 :my_param、:order 和 :direction 使用參數標記綁定。但是，排序子句無法正確運作。人們可能會期望 ORDER BY 子句中的參數有一種轉義機制，但這並不存在。

相反，有必要將排序參數直接插入SQL 語句中，並採取適當的預防措施：

$order = 'columnName';
$direction = 'ASC';

$stmt = $db->prepare("SELECT * from table WHERE column = :my_param ORDER BY $order $direction");

為了確保安全，建議對排序參數的值進行白名單的做法。以下程式碼片段說明了使用陣列的白名單機制：

$orders = array("name","price","qty");
$key = array_search($_GET['sort'], $orders);
$order = $orders[$key];
$query = "SELECT * from table WHERE is_live = :is_live ORDER BY $order";

這種方法確保只有預先定義的安全值才能用於排序，從而防止潛在的安全漏洞。

以上是如何使用 PDO 準備好的語句安全地排序查詢結果？的詳細內容。更多資訊請關注PHP中文網其他相關文章！