Как правильно вставить переменную в имя таблицы PDO/MySQL?

Question

[The-TS]

Как правильно вставить переменную в имя таблицы PDO/MySQL?
Буду благодарен за ответ!

Comments

[FanatPHP]

Если у тебя в переменной не имя таблицы целиком, а только часть имени, то у тебя кривая база данных и её надо переделать

[The-TS]

FanatPHP, А если полностью имя таблицы?

[FanatPHP]

А если полностью имя таблицы, то я уже ответил

Answer 1

[Stalker_RED]

$tblName = 'users';

$dbh = new PDO('mysql:dbname=testdb;host=127.0.0.1', 'root', 'qwerty123');
$dbh->exec("DROP TABLE " . $tblName);

die("Гори огнем!!!111\n");

Comments

[The-TS]

Так не будут работать SQL инъекции?

[FanatPHP]

secret secretom, а ты как думаешь?

[Stalker_RED]

secret secretom, будет конечно. Но PDO не поддерживает плейсхолдеры для имен таблиц)

Если в самом деле нужно передавать таблицу параметром, и очень хочется сделать проверку, можно сделать SHOW TABLES FROM dbName и потом проверить через in_array(). Но вы делаете что-то странное, имхо.

Answer 2

[FanatPHP]

Неужели так трудно вставить заголовок своего вопроса в адресную строку браузера и нажать Ентер?