Oci_execute, like и переменные в запросе, где ошибка?

Question

[sflyer]

Есть такая форма:

<input type="text" name="searchdata" size="40" autocomplete="off" placeholder="ospk_id" />
<select required name="EN">	
	<option value="DATA">Дата</option>	
	<option value="RANDOM">Случайное значение</option>	
	<option value="SERIA">Серия</option>
	</select>
<input type="submit" value="ПОИСК"/> <br>

И такой код на php. Смысл в том, что через post передается значения текстового поля и селектора (значения приходят, проверено через echo). Мне нужно сделать like, где значение из селектора - поле таблицы, из текстового поля - значение из поиска.
Если написать название поля таблицы вручную - работает отлично. Если сделать значение поля таблицы переменной, как в коде ниже - поиск не работает. Ошибок не выводит, но массив пуст. Подскажите, как такое реализовать, чтобы работало? Спасибо :)

$selector=$_POST['EN'];
$gets='%'.$_POST['searchdata'].'%';
	$row2 = oci_parse($conn, "select * from FOR_SEARCH where :sel LIKE :search");
	oci_bind_by_name($row2,':search', $gets);
oci_bind_by_name($row2,':sel', $selector);
	oci_execute($row2, OCI_DEFAULT);
    while ($get_result2 = oci_fetch_assoc($row2)){
			$result2=$get_result2;
*тут вывод данных из массива в таблицу*}

Comments

[krypt3r]

...WHERE :sel...
Так нельзя делать.

[sflyer]

krypt3r, А как в данном случае вывести переменную в строку запроса?

[krypt3r]

Имена полей таблицы нельзя использовать в prepared statements.

$row2 = oci_parse($conn, "select * from FOR_SEARCH where ' . $selector . ' LIKE :search");

Если так уж надо. Однако тут бага — юзер будет перебирать имена полей в БД. Оно вам надо?

[sflyer]

krypt3r, Спасибо, заработало. В целом поля только 3 с не большим объемом данным, проблем быть не должно.

[Константин]

sflyer, А что если кто-то напрямую в посте в селектор передаст что-то вроде

1=1 union all select * from passwords where 1=1 or null

[sflyer]

Константин, Сейчас начал реализовывать и прочитал ещё раз ваш комментарий. Действительно, union отлично работает. Спасибо за замечание