Как правильно составить pdo запрос?

Question

[Kolya Vantukh]

Нужно составить вот такоой запрос

$row = 'title';
 $key = 'sam';
 $sort = 'id';
 $type = 'asc';

    $result = $pdo->prepare("SELECT * FROM table_products WHERE :row LIKE :key ORDER BY :sort :type ");
	      $result->bindValue(':row', $row, PDO::PARAM_STR);
	      $result->bindValue(':key', $key, PDO::PARAM_STR);
        $result->bindValue(':sort', $sort,PDO::PARAM_STR);
        $result->bindValue(':type', $type,PDO::PARAM_STR);
	$result->execute();

Должно бы работать , но не работает

Answer 1

[Rsa97]

Плейсхолдерами можно заменять только данные. Названия таблиц, колонок и т.д. не биндятся.

Comments

[Kolya Vantukh]

а как тогда защитится от инъекций?

[Rsa97]

Kolya Vantukh: А что, у вас клиенты передают имена колонок?

[Kolya Vantukh]

Rsa97: просто поиск и сортировка по get передаются . Соответственно в строке браузера можно вписать любое значение

[Rsa97]

Kolya Vantukh: Тогда просто составляйте список допустимых значений и фильтруйте по in_array()

[Rsa97]

Kolya Vantukh: А вот данные уже плейсхолдерами подставляйте